2025年03月13日 12時00分セキュリティ

Google Playで北朝鮮のスパイウェア「KoSpy」入りのAndroidアプリが配信されていたことが明らかに

北朝鮮政府のために活動するスパイに、ユーザーの機密情報を密かにアップロードする複数のAndroidアプリを研究者が発見しました。このアプリの中にはGoogleのセキュリティ審査に合格してGoogle Playで配信されていたアプリもあります。

Lookout Discovers North Korean APT37 Mobile Spyware | Threat Intel
https://www.lookout.com/threat-intelligence/article/lookout-discovers-new-spyware-by-north-korean-apt37

Android apps laced with North Korean spyware found in Google Play - Ars Technica
https://arstechnica.com/security/2025/03/researchers-find-north-korean-spy-apps-hosted-in-google-play/

セキュリティ会社のLookoutが発見した北朝鮮発のスパイウェアは「KoSpy」と名づけられており、ファイルマネージャー、電話マネージャー、ソフトウェアアップデートユーティリティ、セキュリティ管理用ユーティリティなどを装いながら、ユーザー端末上のファイル、音声、スクリーンショットなどさまざまな情報を収集して、北朝鮮のスパイが管理するサーバーに密かに送信することができます。

KoSpyは英語および韓国語を話すユーザーをターゲットにしており、Google PlayだけでなくサードパーティーのアプリマーケットプレイスであるApkpureでも配信されていた模様。以下がGoogle Playで配信されていたKoSpy入りアプリのひとつである「File Manager」です。

「File Manager」の開発者のメールアドレスは「[email protected]」となっており、アプリのプライバリーポリシーページは「https://goldensnakeblog.blogspot.com/2023/02/privacy-policy.html」となっています。このプライバシーポリシーページには「個人情報をご提供いただくというお客様の信頼を大切にし、当社は商業的に許容される手段で個人情報を保護するよう努めています」「しかし、インターネットを介した送信方法や電子保存方法は100％安全で信頼できるものではなく、絶対的な安全性を保証することはできません」と記されています。なお、このプライバシーポリシーページは記事作成時点では閲覧可能であり、セキュリティ企業のVirusTotalによると悪意のある行為に関する報告はないそうです。

ただし、「File Manager」のコマンド＆コントロールサーバーをホストしているIPアドレスは、少なくとも2019年以降、北朝鮮のスパイ活動で使用されてきたインフラストラクチャーをホストしていたことが知られている3つのドメインを以前にホストしていたことが確認されています。

Google PlayにホストされているわけではないKoSpy入りアプリは、2段階のコマンド＆コントロールサーバーに依存しており、Googleが提供するウェブアプリケーション開発プラットフォームのFirebaseでホストされているデータベースから構成設定を取得していることが明らかになっています。なお、この報告を受けたGoogleは、当該アプリと構成データベースの両方を削除したと報告しました。

テクノロジーメディアのArs Technicaは、KoSpy入りのアプリがGoogle Play上でホストされていた正確な期間などについてGoogleに問い合わせていますが、記事作成時点では返答は得られていません。Googleの広報担当者は、当該アプリがGoogle Play上からダウンロードされる前に削除されたと報告していますが、Ars Technicaのデータ開示要求には応じていません。また、GoogleがAndroid向けに提供しているセキュリティ機能のGoogle Play プロテクトがあれば、「Google Play以外からインストールされたものであっても、デバイス上にインストールされた悪意のあるアプリなら検出できる」と言及したそうです。