Tag Archives: Trojan.FakeAV

日本のアニメーションは「アニメ（Anime）」として、漫画は「マンガ（Manga）」として知られており、過去 20 年間で漫画アニメ産業は世界中で人気を博するようになりました。そうした最新の流行を利用するのが、ひと儲けする方法として手っ取り早いことはよく知られており、合法的にも非合法的にもその手法は広く利用されています。アニメと漫画の流行も、マルバタイジング（悪質な広告）やモバイルリスクなどを通じてサイバー犯罪者が無防備なファンにマルウェアの脅威をもたらす新たな手口を生み出しています。

1990 年代に、日本の漫画は米国の市場で大ブームとなり、大手書店の本棚にも並ぶようになりました。日本語のわからないファンが読むためには、漫画の翻訳を待たねばなりません。公式に翻訳される漫画の数は増えていますが、ファンを満足させるにはまだまだ足りないようです。しかも、翻訳対象になるのは人気の高い作品に限られています。

漫画産業が直面している問題のひとつが、日本語を母語としないファンに評価される作品をどう選ぶかということです。その判断基準として、読者コミュニティが非常に有効であることが判明しています。読者コミュニティのなかには、日本の漫画をスキャンして翻訳版を制作するグループも存在し、そのような行為はスキャンレーション（Scanlation）またはスキャンスレーション（Scanslation）と呼ばれています。

公式の出版社はそうした読者コミュニティに注目し、その動きに合わせて事業の方向性を決めていましたが、それが裏目に出てしまいました。90 年代の終わりにはインターネットにアクセスするユーザーが急増し、巨大なスキャンレーションサイトがオンラインで無料の漫画を提供するようになったため、日本の漫画アニメ産業は顧客を失い始めたのです。

この数年間に、スキャンレーションサービスを展開する複数の Web サイトやコミュニティが、著作権者の許可を得ていないため著作権違反であるとして訴えられています。

スキャンレーションには多くの作業が必要であり、そのチームには以下のようなメンバーが存在します。

• 翻訳者
• クリーナー
• 校正者
• 植字工
• リライター

チームのメンバーはほとんどが自主的に参加しているため、新しい作品を定期的に出版し続けるには、何らかの収益化が必要であり、また広告も無視できない収入源となります。

悪用ツールキットとマルバタイジング
こうしたサイトでは、1 章分のページに平均 10 個の広告が表示され、場合によっては 11 の広告プロバイダが利用されています。マルバタイジングや悪用ツールキット、先日公表された「Microsoft Internet Explorer に存在する解放後使用のリモートコード実行の脆弱性」（CVE-2013-2551）について実施した最近の調査でも、多くのスキャンレーションサイトが、マルバタイジングや悪用コードによって悪質なリダイレクト先にリンクされていることが確認されました。図 1 のグラフは、2013 年 7 月から 2014 年 1 月初めにかけて確認された各種マルウェアの検出状況を示しています。

図 1. スキャンレーションサイトでの IPS 検出状況（2013 年 7 月から 2014 年 1 月）

2013年 12 月に CVE-2013-2551 が公表され、Blackhole 悪用ツールキットが停止されると、傾向が一変しました。Trojan.FakeAV を送りつけるマルバタイジングタイプの攻撃が急増しています。最近のマルバタイジングの場合、悪質なコードに直接感染していたのはスキャンレーションサイトではなく、広告プロバイダでした。この場合、スキャンレーションサイトのユーザーを標的とした広告が多用されるため、スキャンレーションサイトのユーザーも被害を受けます。図 2 に、2013 年 10 月から 2014 年 1 月初めに確認されたスキャンレーションサイトでの IPS 検出状況を示します。

図 2. スキャンレーションサイトでの IPS 検出状況（2013 年 10 月から 2014 年 1 月）

読書形態の変化
スマートフォンやタブレットが人々の生活にとって欠かせないものになる一方で、紙の本や PC の利用度は少なくなってきました。大部分の Web サイトでは、モバイルアクセスが容易になるように、モバイル向けのコンテンツも公開されています。

シマンテックは、モバイルのブラウズテストを実施し、最近公開された漫画のページをランダムに読み込んだとき、読者がどのようにリダイレクトされるのかを調べました。その結果、次のページに移動しようとすると強制リダイレクトが発生する場合もあることがわかりました。リダイレクト先では、APK ファイルをダウンロードするよう指示されます。シマンテックは、「Airpush Adware」というこの Android アプリをセキュリティ上のリスクとして分類しています。Airpush Adware はデバイスの電話番号、電子メールアドレス、アプリのリストを収集して第三者に送信する可能性があり、電子メールや SMS を介してスパムが届く原因にもなりかねないからです。

図 3. Airpush のプライバシーポリシーと広告規約

さまざまなスキャンレーションサイトから漫画を収集するモバイルアプリが大量に出回り始めています。こうしたアプリは、オンラインでもオフラインでも 10,000 冊以上の漫画を複数の言語で楽しめると謳っています。ダウンロード率もインストール率も高いことから、このようなアプリは悪質な便乗攻撃や、トロイの木馬による攻撃の格好の標的です。たとえば、漫画購読サービスを謳いながら、実際はプレミアム SMS を利用させるアプリがサードパーティのマーケットで配布されていることも確認されています。シマンテックは、この脅威を Android.Opfake として検出します。

世界中に広がるスキャンレーション熱
2013 年 7 月から 2014 年 1 月にかけて、このようなスキャンレーションサイトで収集された検出データには定期的に急上昇が見られます。これが『NARUTO -ナルト-』、『BLEACH』、『ONE PIECE』、『FAIRY TAIL』、『キングダム』といった人気漫画の新刊が公開されたタイミングであることは明らかです。

スキャンレーションサイトで確認されたマルバタイジングの分布図を見ると、読者率が最も高いのは米国であり、ヨーロッパ、オーストラリアがそれに続いていることがわかります。漫画の読者は中東やブラジルにも広がっており、スキャンレーショングループは現在、漫画を 6 言語（英語、ドイツ語、イタリア語、スペイン語、ロシア語、フランス語）に翻訳しているようです。

図 4. スキャンレーションサイトでの IPS 検出状況とマルバタイジング（2013 年 7 月から 2014 年 1 月）

出版されている漫画の数は膨大ですが、新刊漫画のうち圧倒的多数は日本語を理解できなければ読むことができず、そうでなければ公式の翻訳を待つしかありません。

新人の漫画家は、ファンの人気を獲得したいあまり、スキャンレーションサービスを許す、あるいは見て見ぬふりをする傾向があります。そのため、スキャンレーションサービスは本質的に法律上の問題や著作権侵害をないがしろにしがちです。そして、スキャンレーションサービスの人気が高くなるほど、サイバー犯罪者の注目も集めるようになっています。

ソフトウェアは脆弱性の悪用を防ぐために、常に最新の状態に保つことをお勧めします。また、アプリケーションは信頼できるアプリストアだけからインストールするようにしてください。

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。

Japanese animation is known as anime and Japanese comics are known as Manga. In the last two decades, these industries have grown in popularity across the world. People know that cashing in on the latest trend is often an easy way to earn money, and many legal and illegal businesses often take advantage of this. The popularity of anime and manga has opened up a new avenue for cybercriminals to push malware threats onto unsuspecting fans through malvertisements and mobile risks.

During the early 90’s Japanese comics experienced a boom in the US market and earned their place on the shelves of major book sellers. Before these books can be read by fans who do not speak Japanese, they must be translated. The number of manga being officially translated is growing, but this doesn’t seem to be enough to keep fans satisfied. In addition, only the more popular titles are candidates for translation.

One problem the manga industry faces is how to choose the comics that will be appreciated by non-Japanese speaking fans. One indicator that proves to be very useful is reader communities. Some of these communities work together to produce translated scans of Japanese manga, known as scanlation (or scanslation).

Official editors monitored these communities and orientated their business accordingly; unfortunately it backfired. The Japanese comics and anime industry began to lose customers due to growing number of people accessing the Internet in the late 90’s and the rise of giant scanlation sites providing free online manga content.

In the last few years lawsuits have been launched against websites and communities offering scanlation services, as it is a violation of copyright if the holder hasn’t given their permission.

Scanlation involves a lot of work and a scanlating team can include the following members:

• Translator
• Cleaner
• Proofer
• Typesetter
• Re-drawer

Team members are mostly volunteers, so in order to keep the publication of new material coming out at regular intervals, some form of monetization is needed and advertisements are often a key source of income.

Exploit kits and malvertisement
These sites show up to ten advertisements on a chapter’s page on average, and in some cases they are using eleven ad providers. Recent investigations around malvertisements, exploit kits, and the recently rolled out Microsoft Internet Explorer Use-After-Free Remote Code Execution Vulnerability (CVE-2013-2551) led us to observe a number of scanlation sites linked to malicious redirections by malvertisement and malicious code. The chart shown in Figure 1 provides an overview of the different malware detections observed from July 2013 through early January 2014.

Figure 1. IPS detections from scanlation domains (July 2013 – January 2014)

With the roll out of CVE-2013-2551 in December 2013 and the shutdown of the Blackhole exploit kit, the trend has changed. We are observing more malvertisement type attacks that are mainly pushing out Trojan.FakeAV. In these recent malvertisement cases, the scanlation websites were not directly compromised with malicious code, it was their ad providers. The users of scanlation websites also become victims in these cases because of the heavy use of ads targeted at them on the websites. Figure 2 shows IPS detections from Scanlation domains observed from October 2013 to early January 2014.

Figure 2. IPS detections from scanlation domains (October 2013 – January 2014)

An evolving reading format
As smartphones and tablets have become a more integral part ofpeople’s lives, less are using their computers or actual books. A vast majority of websites have released mobile versions of their content to make mobile access easier.

We conducted a mobile browsing test and observed how readers were redirected while reading random pages of recently released manga. We saw that users sometimes encountered a forced redirection when trying to go to the next page. The redirection led to a download prompt for an APK file. We categorized this Android application, Airpush Adware, as a security risk. Airpush Adware can collect and send out the user’s phone number, email address, and a list of applications to third parties, which could lead to the user receiving spam through email and SMS.

Figure 3. Airpush privacy policy and advertising terms

A large number of mobile applications that collect manga from different scanlation domains have begun to appear. These apps can offer over 1,000 manga in multiple languages that users can read online and off. With high download and installation rates, these applications are ideal targets for malicious piggybacking and Trojanized readers. As an example, we found one application, distributed on third party markets that offered manga reading services, delivering premium SMS. Symantec detects this threat as Android.Opfake.

A growing global enthusiasm for scanlating
The detection data gathered from July 2013 through January 2014 on these scanlation domains shows regular spikes and that can easily be tied  to the release of popular manga chapters for Naruto, Bleach, One Piece, Fairy Tail, and Kingdom.

A heatmap of the malvertisements seen on scanlation websites confirms that the highest readership is in the United States, followed by Europe, and Australia. Manga readership is also present in the Middle East and Brazil. Currently, the scanlation teams appear to be translating manga into six different languages (English, German, Italian, Spanish, Russian, and French).

Figure 4. IPS detections for Scanlation domains and malvertising (July 2013 – January 2014)

With a large variety of manga available, the vast amount of new comics can make the medium difficult to access unless the reader understands Japanese or waits for official editors to provide a translated version.

Because new mangaka (manga authors) need to earn their popularity with fans, they often allow, or turn a blind eye to, scanlation services. As such, the functional structure of scanlation services closely flirts with legal issues and copyright abuse. Unfortunately, the growing popularity of scanlation services has caused it to attract cybercriminal attention.

Symantec Security Response advises users to keep their software up-to-date to limit the successful exploit of vulnerabilities and not to install applications outside of trusted app stores.