Androidアプリケーションのセキュリティ

Android用セキュリティアプリケーションを提供しているLookoutのレポート「MOBILE THREAT REPORT」から。この元記事はiOSも含めてかなり充実した内容になっていますが、今回は特にAndroidアプリケーションのセキュリティについて。

Androidアプリケーションとしてマルウェアを配布する方法として今最も手軽かつ広く用いられているのが、既存のアプリケーション（特に人気を集めそうなもの）にマルウェアを入れ込み、それを「リパッケージ」してアプリケーションとして公開する、という手法です。元記事にあった解説図がわかりやすかったので、日本語化してみました。


この「リパッケージ」というのがクセモノです。
ご存知の通り、Androidアプリケーションは通常Javaで開発されます（Android NDKを使ってC/C++で開発する場合もあり、その場合はリバースエンジニアリングはJavaに比べると難しくなります）。開発されたアプリケーションは .apk というパッケージファイルとして配布されますが、このファイルをZIPファイルとして展開すると、内部のファイルを抽出することができます。さらにそれらのファイルをツールを使って分析していくと、そのアプリケーションの元のソースコードに近い状態までリバースエンジニアリングを行うことができます。
リバースエンジニアリングを行って取り出したソースコードに何らかの仕込み（DroidDreamなどのマルウェア）を加え、その改造版のアプリケーションを公開します。このアプリケーションをインストールしたユーザーはマルウェアの餌食になってしまいます。
この「リパッケージ」が比較的容易にできてしまうことから、この手法は世界的にかなり広がっています。スマートフォンユーザーが、「便利そうだから」「面白そうだから」というだけで闇雲にアプリケーションをインストールすることはかなり危険なことと言えるでしょう。

マルウェア以外にもスマートフォンには独特の危険性があり、広がるユーザー層に対策が追いついていない状態になっています。

元記事では記事全体のまとめとして、スマートフォンでのセキュリティ問題を避けるためにできる6つのTipsを挙げています。

1. アプリケーションのダウンロードは信頼できるソースからのみにする。また、開発者の名前やレビュー、レーティングなどにも注意する。
2. Webブラウザでリンクをクリックしたときには、正しいURLにリンクしたかアドレスを確認する。特にユーザー名やパスワードを入力する場合はよくチェックする。
3. スマートフォンにパスワードをかけ、紛失/盗難時にもすぐにデータが取り出されないようにする。
4. スマートフォン用セキュリティツールを活用する。
5. スマートフォンで普段と違う動作（不審なメッセージ、バッテリーの異常な消耗など）が見られたら、何らかの感染が起きている兆候かもしれない。
6. スマートフォンに搭載されているファームウェアをできるだけ最新にする。

Related Posts

• 
  「ドッペルゲンガー・ドメイン」によるメール盗難
• 
  8月23日のアメリカ東部の地震とインターネットトラフィック
• 
  SSL VPNの安全性に関するホワイトペーパーを読んで
• 
  スマートデバイスに関するセキュリティレポート