Android Malware
GinMasterとそのエコシステム
ソフォス株式会社

マーケティング マネージャー 平野祐司

1

GinMaster とは？
GinMaster は、Android OS を狙ったマルウェア
正規のアプリケーションに不正なコードを挿入しリパッケージ
主に中国の 3rd パーティのアプリサイトより広範囲に配布

GinMaster という名はどこからきた？
2011年8月に発見
Android 2.3(CodeName:Gingerbread)をルート化(GingerBreak)当初は、GingerMaster と呼ばれ、現在では GinMaster

2

GinMaster の考察
1.
2.
3.
4.
5.
6.

バックグランド
流行期間と流通量
成長性
機能
複雑性
ビジネスシステム
補足： PC マルウェアとの比較

3

1. バックグラウンド－ 市場+
150M 中国における Android デバイス数
2012 Smartphone Market Share26%

ChinaUSA

46%

India
Brazil18%

United Kingdom
Rest of World

5%
2% 3%

* Source from idc.com
4

1. バックグラウンド－ アプリ配布サイト数+400 中国におけるアプリ配布サイト数

5

1. バックグラウンド － 感染レート%
31.71 中国での高い感染レート
2013 Global Infect Rates
USA, 6.53%
India, 10.38%
Russia, 17.15%

China, 31.71%* Report from NQ Mobile

6

2. 流行期間と流通量: 長期間にわたる
2011年 8月の発見以来26ヶ月

マルウェアファミリーの数

マルウェア数+300+
19,1004%

現在も活動中GinMasterRest of Malware

SophosLabs による統計
7

3. 成長性: 劇的な成長 4半期ごとの推移# of Variants

6000

5000

4000

3000

2000

1000

0

2011-8～
2011-10

2011-11～
2012-1

2012-2～
2012-4

2012-5～
2012-7

2012-8～
2012-10

2012-11～2013-1

2013-2～
2013-42013-5～2013-88

4. GinMaster の機能
Data Stealer

Premium
ServiceAbuser

Rootkit

GinMaster

ClickFraudster

Trojan Spy

Malicious
Downloader

95. 複雑性 － 高度化されたマルウェア
第一世代の GinMaster 危険なアクセス許可の要求 AndroidManifest の改変
 GameService (悪質なコードの中心部)
 バイナリーとシェルスクリプトで構成
 SQLite のデータベースにスキーマを作成
 Command and Control (C & C)
第二世代以降は、上記に加え、高度な難読化と暗号化%
約95

GinMaster 全体における第二世代と第三世代の占める割合
10

6. ビジネスシステム ＄＄＄￥￥￥

GinMaster から垣間見る
ビジネスシステム マルウェアによる驚くべき利益 マルウェア エコシステム
 マルウェア ビジネス戦略

11

6. ビジネスシステム ＄＄＄￥￥￥

マルウェアによる驚くべき利益
0.7%
感染レート

1億5000万 台
Android デバイス

約 100万台のAndroid デバイスの感染約100万元
高いリスク 高いリターン
アプリ配布サイト経由
インストール毎に 0.5-2 元
概算 2-30,000 ダウンロード / 月

約150万元/月
低いリスク 低いリターン
PC や Mac OS 経由
概算 ユーザー1日あたり 0.02 元

約$245,000 / 月(１元≒16円 だと、約2400万円/月)

約 50万元12

6. ビジネスシステム ＄＄＄￥￥￥

マルウェアのエコシステム
トラフィックの増加

2Android ユーザーが、悪意あるコードを含むアプリをダウンロード

広告業者

5

正規のアプリのダウンロード

4

アプリの開発者※※アプリの正規の開発者

3

Android
ユーザー

サードパーティのアプリ配布サイト

 デバイスID、電話番号などを送信。
 デバイスにインストール、またはアンインス
トールされたアプリのパッケージ情報をレポート

Command and Control (C&C)
 設定の変更
 サイレントダウンロードの実行

1

3rd Partyのアプリ配布サイトにアプリをアップロード

作成者は、正規アプリのプロモーションのため、契約を結ぶ

マルウェア作成者
13

6. ビジネスシステム ＄＄＄￥￥￥

マルウェアのビジネス戦略

最大限の利益を得るために、マルウェア作成者は利用者のデバイスに、可能な限り、悪意あるアプリインストールさせる

14戦略1 効果的なアプリのカテゴリを選ぶ
ターゲットにするならゲーム カテゴリを選べ！
第一世代 GinMaster

第二世代 GinMaster
SexyBookBook

Sexy 第三世代 GinMaster Book
Pic

Pic
Game

SexyPic

Game

Game

15

戦略2 人気のアプリを選ぶ
ターゲットにするなら熱くなる アプリを選べ！

ターゲットとされた日本製アプリ
 モバゲー 忍者ロワイヤル
 牧場ホッコリーナ
 逆襲のファンタジカ
 100万人のモンスターファーム
 レイトン教授と世紀の七怪盗 など
16

戦略3 ウイルス対策ソフトより先へ
ウイルス対策ソフトの検出から逃れるため、証明書は、コードサイニングだけでなく、暗号化も使う！
証明書や暗号化アルゴリズムをこまめに変更する※ 1つの証明書で、マルウェアアプリにコードサインしない
1 つの証明書で暗号化されたアプリの数
第一世代 GinMaster

33.19

第二世代 GinMaster

3.81

第三世代 Gin Master

1.32

17

結論
• GinMaster を核としたエコシステムは、中国のアンドロイド マルウェアの代表的なモデル• このモデルは、タイやベトナムなどの新興国へ広がる可能性がある• すぐに収束する方向性は見えないので、今後もマルウェアとの戦いは継続中

18

補足

PC マルウェア と Android マルウェア
PC で 15年作り上げ脅威に、アンドロイドは1.5年で追いつく

19

補足

PC マルウェア と Android マルウェア
比較対象
CipherPolymorphic

Botnet(暗号化)(多様化・多型化)(ボットネット化)PC

2 years (XOR)

6 years

9 years

Android

4 months (DES) 1.5 years

1 year20

参考資料ダウンロード (英語)GinMaster: A Case Study in Android Malware
http://www.sophos.com/ja-jp/medialibrary/PDFs/technical%20papers/Yu-VB2013.pdf

短縮 URLhttp://bit.ly/17C7IBV

21

Security made simple.
ご清聴ありがとうございました。
22