1.
#DroidKaigi_room5
アプリをエミュレートするアプリの登場と
その危険性
2018/02/09 DroidKaigi 2018
エムスリー株式会社 星川貴樹 (@oboenikui)

2.
#DroidKaigi_room5
# 自己紹介
## 名前
星川貴樹 Takaki Hoshikawa
## ニックネーム
@oboenikui
## 会社
エムスリー株式会社（新卒１年目）
主にAndroidアプリ担当
## 趣味・最近気になってること
野球観戦、CTF、minifyされたJSから隠し機能を見つけること
講演中に「OK Google」言ったらテロ起こせる説

3.
#DroidKaigi_room5
# 本日の内容
- アプリを「エミュレートする」アプリとは
- マルチアカウントアプリの仕組み
- マルチアカウントアプリは安全？危険？
※ マルチアカウントアプリ ≒ アプリをエミュレートするアプリ

4.
#DroidKaigi_room5
# アプリを「エミュレートする」アプリとは
- 一般には「マルチアカウントアプリ」として知られる
- LINEやソシャゲなど、マルチアカウントの仕組みを持た
ないアプリの別アカウントを作れることがウリ
- 2016年ごろから急増
マルチアカウントアプリの例
Parallel Space GO Multiple 2Accounts

5.
#DroidKaigi_room5
# マルチアカウントアプリの種類
## APKを改竄してインストールするタイプ
- アプリケーションIDを変更して自己署名するタイプ
- 一般に証明書のチェックで弾ける
- App Clonerなどが有名
## 別のアプリとしてインストールせずに動かすタイプ
- 「マルチアカウントアプリ」の中で動かすタイプ
- あたかも正常にインストールされたかのように動かされ
るため、動かされる側のアプリには判定が少し厳しい
- 今回はこちらの話

6.
#DroidKaigi_room5
# 最初に抱いた感想……
これ、やばいアプリでは……

7.
#DroidKaigi_room5
# 最初に抱いた感想……
これ、やばいアプリでは……
↓
紐解いていきます

8.
#DroidKaigi_room5
# 用語
- マルチアカウントアプリ上で動くアプリのこと
➔ ゲストアプリ
- マルチアカウントアプリのこと
➔ ホストアプリ

9.
#DroidKaigi_room5
# 関連するものの本日深くは解説しないこと
- Androidのシステムがどう動いているか
- 普通のアプリがどうやって動いているか
- APKファイルの構造
- Linuxの超基礎知識

10.
#DroidKaigi_room5
マルチアカウントアプリの仕組み

11.
#DroidKaigi_room5
# VirtualAppの紹介
- GitHub上でソースが公開されているマルチアカウントア
プリ
- VirtualAppは商用アプリのため、勝手にソースを組み
込むことを禁止している
https://github.com/asLody/VirtualApp/

12.
#DroidKaigi_room5
# AndroidManifest.xmlから挙動を読み解く

13.
#DroidKaigi_room5
# AndroidManifest.xmlから挙動を読み解く
uses-permissionの記述 (186個)
StubActivityを継承したActivity
(100個)
StubContentProviderを継承した
ContentProvider (50個)

14.
#DroidKaigi_room5
# AndroidManifest.xmlから挙動を読み解く
## AndroidManifestから読み解けること
- パーミッションは考えうる全てのものをVirtualApp側
に記載
- システムの欠陥を突いて……とかではない
- StubActivityは各アプリを動かしている……？

15.
#DroidKaigi_room5
# AndroidManifest.xmlから挙動を読み解く
## AndroidManifestから読み解けること
- パーミッションは考えうる全てのものをVirtualApp側
に記載
- システムの欠陥を突いて……とかではない
- StubActivityは各アプリを動かしている……？
↑ ※違います！！ (後で解説)

16.
#DroidKaigi_room5
# ざっくりとした起動までの流れ
0. 動かしたいアプリのAPKファイルを読み込みインストール
1. ゲストアプリプロセスの起動
2. Activityを起動

17.
#DroidKaigi_room5
# ざっくりとした起動までの流れ
0. 動かしたいアプリのAPKファイルを読み込みインストール
1. ゲストアプリプロセスの起動
2. Activityを起動

18.
#DroidKaigi_room5
# アプリのインストール処理
- android.content.pm.PackageParser※
を使ってパッ
ケージ情報を取得
- /data/data/io.virtualapp/virtual/data以下
に、各アプリのデータ領域にあたるディレクトリなどを
作成
- APKファイルからlib/**/*.soなどをコピー

19.
#DroidKaigi_room5
# PackageParserについて
- AndroidManifest.xmlをパースするクラス
- JavaDocで@hide指定された隠蔽クラスのため、SDKに
は含まれず通常使用ができない
/**
...
* @hide
*/
public class PackageParser {
...

20.
#DroidKaigi_room5
# 隠蔽クラス/メソッドの使用
- @hide指定による隠蔽クラスやメソッドは、Javaのリフ
レクションを用いるとアプリからもアクセス可能
- ただしAndroidバージョンごとに大幅に仕様変更がある
ので通常使用すべきではない
- 解説するメソッドの多くは隠蔽メソッドなのでその度に
言及は特にしない

21.
#DroidKaigi_room5
# リフレクションとは
- privateメソッドを実行する
- privateなメンバ変数を取得・書換する
- クラス名文字列から対応するクラスのインスタンスを生
成する（コンストラクタに引数を渡す場合）
- メソッド実行前後に処理を挟む、実行結果を変える
（Proxy）
などが可能なJavaの機能（いわゆる黒魔術）

22.
#DroidKaigi_room5
# privateメンバ変数の取得
Field f = activity.getClass()
.getDeclaredField("mMainThread");
f.setAccessible(true);
ActivityThread mainThread =
(ActivityThread) f.get(activity);

23.
#DroidKaigi_room5
# 名前からインスタンス生成 (LayoutInflaterの処理)
Class<? extends View> clazz = context.getClassLoader()
.loadClass(name)
.asSubclass(View.class);
Constructor<? extends View> constructor =
clazz.getConstructor(constructorSignature);
constructor.setAccessible(true);
View view = constructor.newInstance(args);

24.
#DroidKaigi_room5
# Proxyの例
Map proxyInstance = (Map) Proxy.newProxyInstance(
SomeTest.class.getClassLoader(),
new Class[] { Map.class },
(proxy, method, args) -> {
if (method.getName().equals("get")) return 42;
throw new UnsupportOperationException();
});
proxyInstance.get(); // 42
proxyInstance.put(1, 1); // error

25.
#DroidKaigi_room5
# インストール後のdataディレクトリ
/data/data/io.virtualapp/virtual/data内
- app/[application id]/
∗ 各アプリのネイティブバイナリ・パッケージ
キャッシュを保存
- user/0/[application id]
∗ データディレクトリ
(/data/data/[application id]) に相当

26.
#DroidKaigi_room5
# ざっくりとした起動までの流れ
0. 動かしたいアプリのAPKファイルを読み込みインストール
1. ゲストアプリプロセスの起動
2. Activityを起動

27.
#DroidKaigi_room5
# プロセスの状態
ホストアプリプロセス Managerプロセス
ゲストアプリプロセス
(ContentProvider)
Activity起動要求
ゲスト起動処理
プロセス起動
VMのロード
& JNIをフック
ActivityThread改竄
(Application作成)

28.
#DroidKaigi_room5
# プロセスの状態
ホストアプリプロセス Managerプロセス
ゲストアプリプロセス
(ContentProvider)
Activity起動要求
ゲスト起動処理
プロセス起動
VMのロード
& JNIをフック
ActivityThread改竄
(Application作成)

29.
#DroidKaigi_room5
# ContentProviderとは
コンテンツ プロバイダは、データの中央リポジトリへのア
クセスを管理します。(中略)
これは、プロバイダと他のアプリケーションとの間のイン
ターフェースになります。
https://developer.android.com/guide/topics/pr
oviders/content-provider-creating.html?hl=ja
- ContentUrisという仕組みでSQLiteのデータをやりと
りしたりする
- ContentProviderを含むプロセスはkillされにくい！

30.
#DroidKaigi_room5
# StubContentProviderの起動
- ContentProviderは別プロセスで動かせるため、この
プロセスをアプリプロセスに見立てて動かす
- ランタイムのセットアップに関する処理は
StubContentProvider上で行う
- ゲストアプリごとに別プロセスの
StubContentProviderを起動する

31.
#DroidKaigi_room5
# プロセスの状態
ホストアプリプロセス Managerプロセス
ゲストアプリプロセス
(ContentProvider)
Activity起動要求
ゲスト起動処理
プロセス起動
VMのロード
& JNIをフック
ActivityThread改竄
(Application作成)

32.
#DroidKaigi_room5
# ART/DalvikVMをロードする
- ネイティブ側でlibart.soもしくはlibdvm.soをロード
(dlopen)する
- dlopenにもパスを変更する処理が追加されている
- JNIのフックについては後述

33.
#DroidKaigi_room5
# ART/DalvikVMをロードする (補足)
- システムプロパティに
persist.sys.dalvik.vm.lib.2が存在
→ 通常はlibart.soのパスがセットされている
persist.sys.dalvik.vm.libが存在
→ 通常はlibdvm.soのパスがセットされている

34.
#DroidKaigi_room5
# プロセスの状態
ホストアプリプロセス Managerプロセス
ゲストアプリプロセス
(ContentProvider)
Activity起動要求
ゲスト起動処理
プロセス起動
VMのロード
& JNIをフック
ActivityThread改竄
(Application作成)

35.
#DroidKaigi_room5
# ActivityThreadの略説
- アプリケーションを動かしてる一番重要な部分
- public static void main(String[] args)があるところ
- ブレークポイントを貼るとコールスタックの初めの方に出てくる
やつ
- Looperが回ってるところ
- HというHandlerを継承したクラスがあり、そこでライフ
サイクルイベントやActivity起動などを処理している
- 詳しくはAndroidを支える技術〈Ⅱ〉の5章を読んでね！

36.
#DroidKaigi_room5
# ActivityThreadの改竄
- ContentProviderの生成と同時にActivityThreadも
生成される
- ゲストアプリを動かす際、ActivityThread内で持つ情
報をゲストのものに改竄する必要があるので改竄を行う
- Proxyを使ったメソッドの処理改竄などもここで行う

37.
#DroidKaigi_room5
# ActivityThreadの改竄
## ActivityThread#mBoundApplication(AppBindData)の改竄
- ActivityThreadから取得し、情報を改竄
- appInfo, providers → PackageParserで取得
- processName → パッケージ名
- instrumentationName → パッケージ名などから生成

38.
#DroidKaigi_room5
# ActivityThreadの改竄
## AppBindData#info (LoadedApk) の生成
- Context#createPackageContext(packageName)を
用いて、対象のアプリのContextを取得
- ContextImpl#mPackageInfo (LoadedApk) を取得

39.
#DroidKaigi_room5
# ActivityThreadの改竄
## Applicationの生成
- 生成したLoadedApkのインスタンスを用いて
LoadedApk#makeApplication()を実行し生成
- ActivityThread#mInitialApplicationに作成した
Applicationをセット
- 生成後ライフサイクル処理を走らせる

40.
#DroidKaigi_room5
# ざっくりとした起動までの流れ
0. 動かしたいアプリのAPKファイルを読み込みインストール
1. ゲストアプリプロセスの起動
2. Activityを起動

41.
#DroidKaigi_room5
# プロセスの状態
ホストアプリプロセス Managerプロセス
ゲストアプリプロセス
(ContentProvider)
Activity起動要求
ゲスト起動処理
プロセス起動
Context#
startActivity
Intent差し替え
Intentから
Activityを生成

42.
#DroidKaigi_room5
# プロセスの状態
ホストアプリプロセス Managerプロセス
ゲストアプリプロセス
(ContentProvider)
Activity起動要求
ゲスト起動処理
プロセス起動
Context#
startActivity
Intent差し替え
Intentから
Activityを生成

43.
#DroidKaigi_room5
# Activityの起動
- ManagerプロセスからstartActivity(intent)で
StubActivityを起動しようとする
- StubActivityとStubContentProviderは同じプロセスで動
くようAndroidManifestで定義されている
- Androidの機能でゲストプロセス側にIntentが飛ぶ

44.
#DroidKaigi_room5
# プロセスの状態
ホストアプリプロセス Managerプロセス
ゲストアプリプロセス
(ContentProvider)
Activity起動要求
ゲスト起動処理
プロセス起動
Context#
startActivity
Intent差し替え
Intentから
Activityを生成
Intent
Target: io.virtualapp/.StubActivity
Extra: Intent(x.guest/.MainActivity)

45.
#DroidKaigi_room5
# プロセスの状態
ホストアプリプロセス Managerプロセス
ゲストアプリプロセス
(ContentProvider)
Activity起動要求
ゲスト起動処理
プロセス起動
Context#
startActivity
Intent差し替え
Intentから
Activityを生成

46.
#DroidKaigi_room5
# ActivityThreadの略説
- アプリケーションを動かしてる一番重要な部分
- public static void main(String[] args)があるところ
- ブレークポイントを貼るとコールスタックの初めの方に出てくる
やつ
- Looperが回ってるところ
- HというHandlerを継承したクラスがあり、そこでライフ
サイクルイベントやActivity起動などを処理している
- 詳しくはAndroidを支える技術〈Ⅱ〉の5章を読んでね！

47.
#DroidKaigi_room5
# Activityの起動
- ゲストアプリプロセスでIntentを受信後、
H#dispatchMessage(msg)が呼ばれる
- 通常は受信したIntentからActivity生成処理が走る

48.
#DroidKaigi_room5
# Handlerクラスの実装
public void dispatchMessage(Message msg) {
if (msg.callback != null) {
handleCallback(msg);
} else {
if (mCallback != null
&& mCallback.handleMessage(msg)) {
return;
}
handleMessage(msg);
}
}

49.
#DroidKaigi_room5
# Handlerクラスの実装
public void dispatchMessage(Message msg) {
if (msg.callback != null) {
handleCallback(msg);
} else {
if (mCallback != null
&& mCallback.handleMessage(msg)) {
return;
}
handleMessage(msg);
}
}
mCallbackがセットされていて、
実行の結果trueが返ってきたら終了

50.
#DroidKaigi_room5
# Handlerクラスの実装
public void dispatchMessage(Message msg) {
if (msg.callback != null) {
handleCallback(msg);
} else {
if (mCallback != null
&& mCallback.handleMessage(msg)) {
return;
}
handleMessage(msg);
}
}
Handlerのコンストラクタに渡す
コールバックで、Hではnull
Hでは通常ここの処理でActivity生成

51.
#DroidKaigi_room5
# プロセスの状態
ホストアプリプロセス Managerプロセス
ゲストアプリプロセス
(ContentProvider)
Activity起動要求
ゲスト起動処理
プロセス起動
VMのロード
& JNIをフック
ActivityThread改竄
(Application作成)
ゲストプロセスの
ActivityThread#mH#mCallbackに
処理を追加
Context#
startActivity
…

52.
#DroidKaigi_room5
# Activityの起動
- ゲストアプリプロセスでIntentを受信後、
H#dispatchMessage(msg)が呼ばれる
- この中で通常は受信したIntentからActivity生成処理が走る
- H#mCallbackにセットした処理により、Intentの宛先
がゲストアプリの起動したいActivityに置き換わる
- このIntentを基にActivityを生成し起動する

53.
#DroidKaigi_room5
# プロセスの状態
ホストアプリプロセス Managerプロセス
ゲストアプリプロセス
(ContentProvider)
Activity起動要求
ゲスト起動処理
プロセス起動
Context#
startActivity
Intent差し替え
Intentから
Activityを生成
Intent
Target: io.virtualapp/.StubActivity
Extra: Intent(x.guest/.MainActivity)

54.
#DroidKaigi_room5
# プロセスの状態
ホストアプリプロセス Managerプロセス
ゲストアプリプロセス
(ContentProvider)
Activity起動要求
ゲスト起動処理
プロセス起動
Context#
startActivity
Intent差し替え
Intentから
Activityを生成Intent
Target: x.guest/.MainActivity

55.
#DroidKaigi_room5
# なぜStubActivityを経由？
- 別アプリから起動する場合を考慮した結果

56.
#DroidKaigi_room5
# 別アプリから起動する場合
別アプリ
ゲストアプリプロセス
(ContentProvider)
startActivity
ContentProvider
起動
mCallbackで
Intent差し替え
Intentから
Activityを生成
StubActivity起動
Intent
Target: io.virtualapp/.StubActivity
Extra: Intent(x.guest/.MainActivity)

57.
#DroidKaigi_room5
# AndroidManifest.xmlの答え合わせ
StubActivity (100個)
StubContentProvider (50個)
Activityの起動を仲介する
ダミーのActivityたち
ゲストアプリの
プロセスになる奴ら

58.
#DroidKaigi_room5
# 補足：メソッドのフック
## なぜ必要？
- Intentの処理やCameraのインストールなどがパッケー
ジ名に依存している
- PackageCacheのパスを変えないとPermission
Deniedになる
- Binder#getCallingUid()の返すUidを偽装
- その他パッケージ改竄検出をすり抜けるため

59.
#DroidKaigi_room5
# Javaのリフレクション (Proxy) で改竄する処理
- startActivityなどIntent処理
- 改ざんしないと本物が起動してしまうため
- バックアップなど多くのメソッドの挙動を削除
- 動作しては困るものは削除してしまう
- オーディオ周りなどの挙動をホストの処理に置き換え
- ネイティブ周りなどの関係でそのままでは動かないので
などなど

60.
#DroidKaigi_room5
# JNIのメソッドをフックして行うこと
- UIDを偽装
- ゲストのdataディレクトリを偽装
- Cameraの初期化
- AudioRecordのパーミッションを取得
- PackageCacheに使うパスを変更
詳しくはスライド最後の付録で

61.
#DroidKaigi_room5
マルチアカウントアプリの危険性

62.
#DroidKaigi_room5
# 広告をオーバーライドされるなどの問題
- 広告フレームワークの処理を変え、マルチアカウントア
プリ作者に収益が入るようにすることも技術的には可能
- Parallel Space上のAdMobでは変更されていないことを確認
したが、他のアプリはどうかわからない
- その他、Playストアでの課金をしたかのように振る舞わ
せるなども可能と考えられる

63.
#DroidKaigi_room5
# 過剰にパーミッションを与えてしまう危険性
- マルチアカウントアプリに非常に多くのパーミッション
が使われているため、ゲストアプリにも同様のパーミッ
ションを与えてしまう危険性がある
- ゲストアプリに悪意がある場合、AndroidManifestで
はパーミッションを指定せず、マルチアカウントアプリ
上で動く時のみパーミッションを用いる、などが可能
- そもそもマルチアカウントアプリ自体が大変危険なアプ
リかもしれない

64.
#DroidKaigi_room5
# アカウントデータ・パスワード漏洩の危険性
- マルチアカウントアプリに悪意がある場合、容易にパス
ワード入力情報から内部のデータまで全て盗むことが可
能
- ゲストアプリが悪意のあるものの場合も、他のゲストア
プリの保存データを取得可能
↓ VirtualApp上の端末エミュレータアプリでLINEの情報を確認できた

65.
#DroidKaigi_room5
# 応用すると……
- 知らぬ間にアプリが置き換わっていることがあるかも……
- いろいろ頑張ればユーザーが気付かないようにアプリをアンイン
ストールさせることが可能
- 代わりに悪意のあるアプリケーション上で動かすショートカット
を作っておけば、ユーザーは置き換わっていることに気付くのは
困難
⇒ 対策した方がよいかも……

66.
#DroidKaigi_room5
# マルチアカウントアプリの対策
- 単純な証明書のチェックはNG
- マルチアカウントアプリ上では証明書を取得するメソッドも書き
換わっており、正しい証明書を得てしまう
- パッケージ名やUIDのチェック等もNG
- これも完全にホストのものに差し替えられると確認が困難

67.
#DroidKaigi_room5
# 2018年現在最適なチェック方法！！
- psコマンドで確認（一部省略）
$ ps
USER PID NAME
u0_a51 8561 ps
u0_a51 29616 com.lbe.parallel.intl:mdserver
u0_a51 29699 parallel.monitor
u0_a51 30703 jackpal.androidterm
u0_a51 30889 /system/bin/sh
自分のアプリでは発生し得ないプロセスが同じユーザーとして実行され
ていることをチェックできる

68.
#DroidKaigi_room5
# 最後に（対策する前に）
- マルチアカウントアプリが使われるアプリ
≒ ユーザーはアカウント切り替え機能を求めている
⇒ マルチアカウント機能の実装を検討すべきでは？
- 現在マルチアカウントアプリの紹介記事の中で危険性を
伝える記事はないので、正しく周知していくことが必要
- 必ずしも危険なものではないが、危険性は知るべき

69.
#DroidKaigi_room5
付録：JNIのフック処理の詳細
参考(中国語)：https://www.jianshu.com/p/052b6dd45659

70.
#DroidKaigi_room5
# JNIの基礎知識
JNIからJavaのメソッドを呼ぶ機能がある
// C++
jclass clazz =
env->FindClass("SomeJavaClass");
jmethodID methodId =
env->GetStaticMethodID(clazz, "javaMethod", "()V");
env->CallStaticVoidMethod(clazz, methodId);

71.
#DroidKaigi_room5
# JNIの基礎知識
JNIからJavaのメソッドを呼ぶ機能がある
// C++
jclass clazz =
env->FindClass("SomeJavaClass");
jmethodID methodId =
env->GetStaticMethodID(clazz, "javaMethod", "()V");
env->CallStaticVoidMethod(clazz, methodId);

72.
#DroidKaigi_room5
# JNIのフック
jmethodIDはMethod構造体のポインタ
// C++
struct Method {
ClassObject* clazz; // クラスを表す
u4 accessFlags; // publicか、nativeか、などのフラグ
…
DalvikBridgeFunc nativeFunc; // ネイティブ関数のポインタ
…
};

73.
#DroidKaigi_room5
# JNIのフック
jmethodIDはMethod構造体のポインタ
// C++
struct Method {
ClassObject* clazz; // クラスを表す
u4 accessFlags; // publicか、nativeか、などのフラグ
…
DalvikBridgeFunc nativeFunc; // ネイティブ関数のポインタ
…
}; これを書き換えればOK

74.
#DroidKaigi_room5
# JNIのフック
jmethodIDはMethod構造体のポインタ
// C++
struct Method {
ClassObject* clazz; // クラスを表す
u4 accessFlags; // publicか、nativeか、などのフラグ
…
DalvikBridgeFunc nativeFunc; // ネイティブ関数のポインタ
…
};
環境によって構造が異なる

75.
#DroidKaigi_room5
# JNIのフック
jmethodIDはMethod構造体のポインタ
// C++
struct Method {
ClassObject* clazz; // クラスを表す
u4 accessFlags; // publicか、nativeか、などのフラグ
…
DalvikBridgeFunc nativeFunc; // ネイティブ関数のポインタ
…
};
環境によって構造が異なる
ここのオフセットを知
る必要あり

76.
#DroidKaigi_room5
# JNIのフック
ダミーのメソッドをJava, C++両側に定義
// Java
static native void nativeMark();
// C++
void mark() {}

77.
#DroidKaigi_room5
# JNIのフック
ダミーメソッドのポインタに一致するオフセットを探索
// C++
size_t start = (size_t) env->GetStaticMethodID(
clazz, "nativeMark", "()V");
size_t target = (size_t) mark;
int offset = 0;
while (true) {
if (*((size_t *)(start + offset)) == target)
break;
offset += 4;
}

78.
#DroidKaigi_room5
# JNIのフック
このオフセットを使って他のメソッドを置き換える
// C++
size_t method = (size_t) someMethodId;
void **nativeFuncPtr = (void **) (method + offset);
*nativeFuncPtr = (void*) hookFunc;