［5］パソコン向けマルウエアに近づく機能

　Android端末に感染するマルウエアは、まだ初期段階にあると言える。短期間のうちに劇的に洗練され増加していることは事実だが、まだパソコン向けのマルウエアに比肩するほどではない。

　とはいえ、わずか8カ月という短期間に、単純なSMS trojanからボットネットの可能性を秘めた複雑なデータ窃盗型マルウエアへと進化している。Android端末がユーザーに急速に浸透していること、スマートデバイスには様々な情報が記録されることなどを考えると、サイバー犯罪者の主たる標的がモバイル端末、特にAndroidを搭載したスマートデバイスになるのは時間の問題だろう。

　マルウエアの技術面では、将来、OSの脆弱性を悪用するものがもっと増える可能性が高い。またブラウザーやQRコードリーダーのようなアプリの脆弱性を突くものも増えてくるだろう。

　DroidDreamなどによって、Androidのroot権限昇格も簡単に再現可能であり、かつ攻撃者にとって価値が高いことが証明された。合法的な正規アプリを改変・再コンパイルすることも容易である。root権限に関わる脆弱性は、ダウンローダーの活動やパーミッションの過剰要求などを可能にするため、今後さらに攻撃者に注目されると考えてよい。

セキュアな環境に向け改善を

　最後に、安全にAndroidを利用する方法について述べておく。まず、アプリのインストール時に求められるパーミッションには、細心の注意を払うことだ。ユーザーによる端末のroot化も避けなければならない。root化は権限昇格の脆弱性を突く攻撃を行っているということであり、root化された端末はセキュリティを担保出来ない「丸腰」状態になることを肝に銘じて頂きたい。もう一つ、怪しいサイトからアプリをダウンロードしないことも重要なポイントである。

　ユーザー側だけでなく、端末メーカーや通信事業者からのアプローチも欠かせない。具体的には、Androidのパッチ適用モデルは大いに見直す必要がある。

　現状では、ユーザーは通信事業者からのOTA（Over The Air）アップデート以外にOSを更新する方法がない。パソコンの世界では一般的になったインターネット経由のアップデート、更新プログラム経由のアップデートが必要だろう。

　DroidDreamのような脆弱性を突いた攻撃は、ユーザー自身がもっと頻繁にOSをアップデートできれば、影響は小さくなる。例えばDroidDreamで悪用された権限昇格を許す脆弱性についても、DroidDream登場時には既に修正パッチが出ていた。ただAndroidは、端末やメーカーによって様々なバージョンが混在している（図1）。このため多くのユーザーはパッチを適用できる状態、もしくはOSをバージョンアップできる状態になかった。こうした点からも、パッチ適用モデルの改善は必須の取り組みといえる。

図1●Androidのバージョンごとの分布

最新バージョンが完成しても、更新は難しいケースが多い。

[画像のクリックで拡大表示]