Googleは、検出を回避するために識別可能な機能を変更する悪意のあるアプリを発見できるように、AndroidのPlay Protectマルウェア保護システムをアップグレードすると発表した。「この機能強化により、AIなどさまざまな方法を利用して検知を回避するために機能を変更する悪意のあるポリモーフィックアプリからユーザーをより適切に保護できるようになります」と、Googleは述べている。

Google Playストアは、時に監視の目をかいくぐってマルウェアを含むアプリが配布されてしまう可能性も度々指摘され、Androidのマルウェアを阻止するために完璧ではないかもしれないが、スキャン、アプリのレビュー、開発者の要件が揃っているため、全くの自由な世界であるインターネット上のその他のサイトよりもずっと安全だ。Androidではユーザーが任意にアプリをサイドロードできるが、Google Playストア以外の世界では全くルールがなく、無数の疑わしいアプリが配布されている。サイドロードされたマルウェアの急増に対抗するため、Google Playは、サイドロードしようとしているアプリが危険と判断した場合、インストール時にマルウェアスキャナーをポップアップ表示することができるようになった。

Google Playのマルウェアシステムは「Google Play Protect」と呼ばれ、これまでもサイドロードされたアプリにマルウェアが含まれていないかチェックすることはできたが、定義ファイルのような高速なテクニックを使用しており、バックグラウンドで静かに行われていた。この新しい技術では、Googleがアプリコードのディープスキャンを実行する間、フルスクリーンの「スキャン」インターフェースでアプリのインストールを遅らせる。Googleのブログ投稿によると、これは「新奇な悪意のあるアプリに対抗するためのコードレベルでのリアルタイムスキャン」であり、Google Play Protectは「新たな脅威を検出するために、これまでスキャンされたことのないアプリをインストールする際にリアルタイムアプリスキャンを推奨する」ことができるという。

このスキャンでは、アプリの断片をGoogleに送信して分析する。Googleは以下のように述べている：

スキャンはアプリから重要なシグナルを抽出し、コードレベルの評価のためにPlay Protectのバックエンドインフラストラクチャに送信します。リアルタイムの分析が完了すると、ユーザーは、アプリをインストールしても安全か、スキャンによって有害な可能性があると判断されたかを知ることができます。この機能強化により、AIなどさまざまな方法を利用して検出を回避する不正なポリモーフィックアプリからユーザーを保護できるようになります。

実際のインターフェイスは上の画像のようなものになる。Google Playは「App scan recommended（アプリのスキャンを推奨）」画面をポップアップ表示し、「Play Protectはこのアプリを見たことがない」「Googleはこのアプリをデータベースに追加する許可をどうしても欲しい」と言う。アプリのスキャンはオプションのように聞こえるが、スクリーンショットにある2つのオプションは「アプリをスキャンする」と「アプリをインストールしない」で、アプリをインストールしてスキャンをスキップするオプションはない。「詳細」ボタンがあるので「スキップ」オプションが隠されている可能性もあるが、Googleはそれについて言及していない。

Google Play Protectは、Google Playサービスが搭載されたすべてのAndroid端末（全世界で利用可能な 30 億台以上のAndroid端末のほとんどを含むが、すべてではない）で利用可能であり、Googleによると、現在、マルウェアやその他の不要なソフトウェアの拡散を防ぐために、毎日 1,250 億件のアプリをスキャンしているという。ダウンロードする前にアプリをスキャンし、デバイス上で潜在的に有害なアプリケーションのスキャンを毎日実施することで、Google Playやその他の場所からダウンロードされたかにかかわらず、悪意のあるソフトウェアの検出を試みている。

こうした保護策にもかかわらず、研究者たちはAndroidマルウェアの発見に警鐘を鳴らし続けている。ここ数カ月の間にいくつかのハッキングキャンペーンについても報告されている。彼らはしばしばYouTubeやChromeのような正規のアプリを装ったマルウェアが配布されることがよくあるのだ。Googleのブログ投稿によると、悪意のあるアプリのダウンロードへのリンクは、メッセージングアプリなどの「一時的なソース」を介して共有されることが多いという。 

新スキャン機能はすでに「インドを始めとする一部の国」で展開が始まっており、今後数カ月ですべての地域で利用可能になるとGoogleの投稿は記している。

Sources

• Google Secutiry Blog: Enhanced Google Play Protect real-time scanning for app installs