【DroidKaigi 2026 後夜祭】マルウェアはどのように動的ロードを用いて アプリ挙動を後から変えるのか

Transcript

1. マルウェアはどのように動的ロードを用いて アプリ挙動を後から変えるのか 加藤 遥斗
2. 自己紹介 加藤 遥斗(@HalunoYo) Android Engineer @ BizReach セキュリティ&低レイヤー好き アセンブラ / CTF(pwn)に夢中 ※発表内容は業務内容とは関係ありません DroidKaigi 2026登壇動画
3. 注意 本発表は教育及び研究目的です。 技術の悪用は刑法・不正アクセス禁止法などに 抵触する可能性があります。
4. アジェンダ ・会社紹介 ・ストアアプリの信頼性 ・PoCで学ぶ攻撃者視点 ・InMemoryDexClassLoaderの本来の役割 ・まとめ
5. アジェンダ ・会社紹介 ・ストアアプリの信頼性 ・PoCで学ぶ攻撃者視点 ・InMemoryDexClassLoaderの本来の役割 ・まとめ
6. 株式会社ビズリーチ ミッション キャリアに、選択肢と可能性を 時代の変化により、市場の構造が複雑化し、価値観も多様化している。 キャリア形成において重要なのは、 自分の未来に自信を持てる「はたらく」を選択し、 挑戦し続ける企業と繋がり、新たな活力を生み出すこと。 私たちは世の中にたくさんの「選択肢と可能性」を提供し 、 「はたらく」を変革していく。
7. 株式会社ビズリーチ サービス一覧 即戦力人材と企業をつなぐ 転職サイト 社内スカウトで 人材流出を防ぐ OB/OG訪問 ネットワークサービス 人財活用システム 採用管理システム 勤怠管理システム 経費精算システム 労務・給与システム メンバーの即戦力化を支援し マネジメントを変革する
8. 即戦力人材と企業をつなぐ転職サイト「ビズリーチ」 企業、求職者、ヘッドハンターの三者を最適かつ効率的にマッチングする即戦力人材に特化した会員制転職サイトで す。企業は主体的な採用活動によって多くの優秀な人材と出会うことができ、求職者は選択肢が広がるだけでなくスカ ウトを通して自分の市場価値を把握することが可能になります。 サービス構造
9. Androidチームの雰囲気 AI活用 開発作業に加え、 チーム内でAI活用のナレッジについて定期的に共有！ 登壇支援 登壇資料を業務内で作成 チーム内でも手厚いレビュー支援！ Try文化 新技術の積極的な採用 検証 / 調査工数などもしっかり取って技術深化も行える！
10. Androidチームの雰囲気 AI活用 開発作業に加え、 チーム内でAI活用のナレッジについて定期的に共有！ 登壇支援 登壇資料を業務内で作成 チーム内でも手厚いレビュー支援！ Try文化 新技術の積極的な採用 検証 / 調査工数などもしっかり取って技術深化も行える！
11. Androidチームの雰囲気 AI活用 開発作業に加え、 チーム内でAI活用のナレッジについて定期的に共有！ 登壇支援 登壇資料を業務内で作成 チーム内でも手厚いレビュー支援！ Try文化 新技術の積極的な採用 検証 / 調査工数などもしっかり取って技術深化も行える！
12. アジェンダ ・会社紹介 ・ストアアプリの信頼性 ・PoCで学ぶ攻撃者視点 ・InMemoryDexClassLoaderの本来の役割 ・まとめ
13. ストアアプリの信頼性 ストア審査 動的解析 静的解析 ML検知 Etc
14. ストアアプリは安全とは言い切れない ストア審査 動的解析 静的解析 安全とは限らない ML検知 Etc
15. 実際にストアに載ったマルウェア PDFリーダ 翻訳ツール Anatsa Joker ファイルマネージャ 懐中電灯 壁紙 QRコードリーダ Etc ファイルマネージャなどに擬態 銀行ログイン情報の奪取・キーロガーなど 壁紙、懐中電灯などに擬態 OTP盗聴・スクショ撮影・連絡先収集など 写真エディタ
16. タイムライン (Anatsa ver) マルウェア QRコードリーダ 提出 審査中 (2024/1/24) 静的解析検査 では捉えにくい リリース 更新 (2024/1/31) (2024/2/9)
17. ストアアプリは安全か InMemoryDexClassLoader 悪意あるサーバからdexバイト列を取得 公式APIを用いてメモリ上へ展開 WebView + JavaScript アプリでWebViewを用いてサイトを開かせる サイト側で目的コードを実行する
18. ストアアプリは安全か InMemoryDexClassLoader 悪意あるサーバからdexバイト列を取得 公式APIを用いてメモリ上へ展開 WebView + JavaScript アプリでWebViewを用いてサイトを開かせる サイト側で目的コードを実行する
19. アジェンダ ・会社紹介 ・ストアアプリの信頼性 ・PoCで学ぶ攻撃者視点 ・InMemoryDexClassLoaderの本来の役割 ・まとめ
20. 専門語彙 ペイロード ドロッパー 動的ロード C2サーバ 情報奪取、キーロガーなど悪意を持つコード 無害なアプリへ擬態する ペイロードを後から運んでくるアプリ アプリ内に存在しない処理を外部から取得及び実 行する技術 ペイロードや悪意ある命令をドロッパーへ 指示して流す司令塔
21. 専門語彙 ペイロード ドロッパー 動的ロード C2サーバ 情報奪取、キーロガーなど悪意を持つコード 無害なアプリへ擬態する ペイロードを後から運んでくるアプリ アプリ内に存在しない処理を外部から取得及び実 行する技術 ペイロードや悪意ある命令をドロッパーへ 指示して流す司令塔
22. 専門語彙 ペイロード ドロッパー 動的ロード C2サーバ 情報奪取、キーロガーなど悪意を持つコード 無害なアプリへ擬態する ペイロードを後から運んでくるアプリ アプリ内に存在しない処理を外部から取得及び実 行する技術 ペイロードや悪意ある命令をドロッパーへ 指示して流す司令塔
23. 専門語彙 ペイロード ドロッパー 動的ロード C2サーバ 情報奪取、キーロガーなど悪意を持つコード 無害なアプリへ擬態する ペイロードを後から運んでくるアプリ アプリ内に存在しない処理を外部から取得及び実 行する技術 ペイロードや悪意ある命令をドロッパーへ 指示して流す司令塔
24. 専門語彙 ペイロード ドロッパー 動的ロード C2サーバ 情報奪取、キーロガーなど悪意を持つコード 無害なアプリへ擬態する ペイロードを後から運んでくるアプリ アプリ内に存在しない処理を外部から取得及び実 行する技術 ペイロードや悪意ある命令をドロッパーへ 指示して流す司令塔
25. DEXとは？ DEX JVM系は必ずdex形式へ変換される (Dalvik Executable) 目的はサイズ削減やメモリ効率化など .kt .java DEX
26. DEXとは？ DEX JVM系は必ずdex形式へ変換される (Dalvik Executable) 目的はサイズ削減やメモリ効率化など .kt .java DEX
27. InMemoryDexClassLoaderとは？ InMemoryDexClassLoader C2サーバ DEXバイト Android
28. PoC概要 ボタン押下 DEXロード Text更新 ※DEXは意図的にC2サーバを経由させません
29. ペイロード実装
30. ペイロード実装 class Payload { fun greet(): String = "World.!" }
31. DEXファイル生成 by Gradle val generateDex = tasks.register<JavaExec>("generateDex") { … mainClass = "com.android.tools.r8.D8" argumentProviders.add( CommandLineArgumentProvider { … }) }
32. ペイロード完成 $ dexdump -f classes.dex 6465780a3033380009a303025a1e931333be40c78 4ad4e52694577678d3befe0f80300007000000078…
33. ドロッパー作成 (UI) Column(...) { Text(text = viewModel.title.value) Button(onClick = { viewModel.inject() }) { Text(text = "Inject!") } }
34. ドロッパー作成 (ロジック ) fun inject() { val dexBytes = “646578…” val loader = InMemoryDexClassLoader( ByteBuffer.wrap(dexBytes), javaClass.classLoader ) val clazz = loader.loadClass("dev.sandbox.plugin.Payload") val instance = clazz.getDeclaredConstructor().newInstance() val result = clazz.getMethod("greet").invoke(instance) as String _title.value = result }
35. ドロッパー作成 (ロジック ) fun inject() { val dexBytes = “646578…” val loader = InMemoryDexClassLoader( ByteBuffer.wrap(dexBytes), javaClass.classLoader ) val clazz = loader.loadClass("dev.sandbox.plugin.Payload") val instance = clazz.getDeclaredConstructor().newInstance() val result = clazz.getMethod("greet").invoke(instance) as String _title.value = result }
36. ドロッパー作成 (ロジック ) fun inject() { val dexBytes = “646578…” val loader = InMemoryDexClassLoader( ByteBuffer.wrap(dexBytes), javaClass.classLoader ) val clazz = loader.loadClass("dev.sandbox.plugin.Payload") val instance = clazz.getDeclaredConstructor().newInstance() val result = clazz.getMethod("greet").invoke(instance) as String _title.value = result }
37. ドロッパー作成 (ロジック ) val result = Payload().greet() val clazz = loader.loadClass("dev.sandbox.plugin.Payload") val instance = clazz.getDeclaredConstructor().newInstance() val result = clazz.getMethod("greet").invoke(instance) as String
38. ドロッパー作成 (ロジック ) val clazz = loader.loadClass("dev.sandbox.plugin.Payload") val instance = clazz.getDeclaredConstructor().newInstance() val result = clazz.getMethod("greet").invoke(instance) as String リフレクション
39. ドロッパー作成 (ロジック ) fun inject() { val dexBytes = “646578…” val loader = InMemoryDexClassLoader( ByteBuffer.wrap(dexBytes), javaClass.classLoader ) val clazz = loader.loadClass("dev.sandbox.plugin.Payload") val instance = clazz.getDeclaredConstructor().newInstance() val result = clazz.getMethod("greet").invoke(instance) as String _title.value = result }
40. 結果
41. アジェンダ ・会社紹介 ・ストアアプリの信頼性 ・PoCで学ぶ攻撃者視点 ・InMemoryDexClassLoaderの本来の役割 ・まとめ
42. InMemoryDexClassLoaderの本来の役割 なぜ、Googleは本クラスを残してる？
43. InMemoryDexClassLoaderの本来の役割 アプリのコアロジック保護 リバースエンジニアリング対策 タンパリング対策 その他セキュリティ対策関連
44. 難読化との違い 難読化： 実行コードはAPKに残る 動的ロード： 実行コード自体 APKから消える
45. InMemoryDexClassLoaderの立場 このクラス自体は中立的存在
46. アジェンダ ・会社紹介 ・ストアアプリの信頼性 ・PoCで学ぶ攻撃者視点 ・InMemoryDexClassLoaderの本来の役割 ・まとめ
47. まとめ ・ストアアプリ = 安全ではない ・アプリの挙動は後から自由に書き換えられる ・InMemoryDexClassLoaderは中立であり一概に悪ではない ・動的ロードは難読化と比較して解析を困難する
48. Kotlin Fest 2026 セッション名 Kotlin × グラフ理論： Unstable APIで挑む関数レベルAffected Test Selectionライブラリ 基本情報 日時 : 11 / 14(土) 16:30 - 17:10 場所：東京コンファレンスセンター品川
49. Kotlin Fest 2026 対象者 ・世界の一部でしか使用されていない先駆技術に興味がある人 ・Kotlin x 競プロのコラボに興味がある人 ・テスト時間の長さを課題と捉えている人 不要な知識 ・コンパイラ(AST, PSIなど)の知見 ・グラフ理論の知見
50. 各ポジション 絶賛募集中！ さまざまなポジションで募集しています。 まずは気軽にカジュアル面談でお話ししましょう。 SRE MLOpsエンジニア データエンジニア DBRE 機械学習エンジニア モバイルエンジニア キャリア採用サイト …
51. Thank you for your attention! ご清聴ありがとうございました！