Androidスマホにプリインストールされていた外部と通信するマルウェア入りランチャーアプリをアンイストールし、『Nova Launcher』を入れる方法

Androidスマホによくありがちなマルウェアランチャー。常時スマホ周辺の音声や動画を音もなく集めて外部のサーバーにせっせと送信し続けていたりします(参考記事)。「ランチャーが原因かどうかわからないけど、何を切ってもスマホが外部と勝手に通信して困る」場合は、ランチャーを疑ってみましょう。

現在、お手持ちのスマホに異常がない場合は[1]通常コースを、お手持ちのスマホに「問題が発生したため、ランチャーを終了します」というダイアログボックスが表示されて、ホームボタンを押すこともままならない状況になっている場合は、[2]異常コースをご覧ください。

[1]通常コース

(1) スマホで『Google Play Store』にログインして、『Nova Launcher』と、『Google Now ランチャー』とを 該当のスマホにインストールしてください。

• セーフモードにしたときにランチャーがない状態となりAndroidを使えなくなることを避けるため、『Nova Launcher』とともに、Google の正規品のランチャー『Google Now ランチャー』を入れます。

(2)(1)がインストールされたら、 「設定　>　HOME」から、ランチャーを『Google Now ランチャー』に変更してください。

(3) スマホの電源ボタンを長押しして、「電源を切る/Reboot」メニューを表示し、「セーフモードで再起動をする」を選択します。

• 「セーフモードで再起動をする」が表示されない場合は、メニューの中の「電源を切る」を長押ししてください。「セーフモードで再起動する」というダイアログボックスが表示されます。表示されたら、「OK」を押して確定します。

(4) スマホがセーフモードで再起動すると、画面の左下に「セーフモード」と表示されます。『Google Now ランチャー』が立ち上がっているはずです。

• 『Google Now ランチャー』が立ち上がっておらず、ランチャー選択画面が表示されたら、『Google Now ランチャー』をご選択ください。

(5) 「設定　>　アプリ　」を開き、右上の三つ目ボタンを押して「システムを表示」を表示して選択してください。そして、『Google Now ランチャー』『Nova Launcher』以外に、「Launcher」「ランチャー」といった文字が表示されているアプリを探し出し、強制停止したあと、無効化してください。

ルート化済み端末をお使いの場合のみ、背景がピンク色の手順(6)-(9)をご実行ください

(10) スマホの「設定　>　HOME」を開き、ランチャーを『Google Now ランチャー』から『Nova Launcher』に変更します。

(11) スマホを再起動してください。

(12)『Nova Launcher』が立ち上がっているはずです。

• 『Nova Launcher』が立ち上がっておらず、ランチャーの選択画面が表示されたら、『Nova Launcher』をご選択ください。

[2]異常コース

(1) 異常をきたしていない別の端末（スマホやPCやMac）を使って『Google Play Store』にログインして、異常をきたしているスマホに『Nova Launcher』と『Google Now ランチャー』とをインストールしてください。

• セーフモードにしたときにランチャーがない状態となりAndroidを使えなくなることを避けるため、『Nova Launcher』とともに、Google の正規品のランチャー『Google Now ランチャー』を入れます。

(2) スマホの電源ボタンを長押しして、「電源を切る/Reboot」メニューを表示し、「セーフモードで再起動をする」を選択します。

• 「セーフモードで再起動をする」が表示されない場合は、メニューの中の「電源を切る」を長押ししてください。「セーフモードで再起動する」というダイアログボックスが表示されます。表示されたら、「OK」を押して確定します。

(3)スマホがセーフモードで再起動すると、左下に「セーフモード」と表示されます。『Google Now ランチャー』が立ち上がっているはずです。

• ダイアログボックス「ランチャーに『Google Now ランチャー』を設定します。一回　常時」が出てきた場合は、常時を押しておきます。

(4) 「設定　>　アプリ　」を開き、右上の三つ目ボタンを押して「システムを表示」を表示して選択してください。そして、『Google Now ランチャー』『Nova Launcher』以外に、「Launcher」「ランチャー」といった文字が表示されているアプリを探し出し、強制停止したあと、無効化してください。

ルート化済み端末をお使いの場合のみ、背景がピンク色の手順(5)-(8)をご実行ください

(9)「設定　>　HOME」から、ランチャーを『Google Now ランチャー』から『Nova Launcher』に変更します。

(10) スマホを再起動してください。

(11)『Nova Launcher』が立ち上がっているはずです。

• 『Nova Launcher』が立ち上がっておらず、ランチャーの選択画面が表示されたら、『Nova Launcher』をご選択ください。

あなたを悩ませている勝手な外部通信は止まりましたか？

root化済みスマホで、root化済み端末用手順（背景がピンク色のところ）をご実施になった場合は、あなたを悩ませている外部通信が止まる場合があります。

参考（2021年11月18日追記）

『Rooting Malware Makes a Comeback: Lookout Discovers Global Campaign』

参考（2022年5月21日追記）

それでも安定しない場合は、トロイの木馬が仕込まれている可能性があります。

次の２つのURLを参考にしてください

『China ELF botnet malware infection & distribution scheme unleashed』

『Case Study: How legitimate internet services like Amazon AWS, DropBox, Google Project/Code & ShortURL got abused to infect malware』

参考（2022年5月29日追記）

次の3つを参考にしてください

参考１：外部記事

Microsoft Finds Critical Bugs in Pre-Installed Apps on Millions of Android Devices

参考２：当社調べ

「Androidシステム(UID1000)」が外部接続するIPアドレス：154.223.168.72　（TCP443番ポート)

• 条件：ファイアーウォールで外部接続を停止済み。
• 結果：　ファイアーウォールで止めているため、実際の接続はない。

参考３：当社調べ

アプリ「Nova laucherの設定」を開くと接続するIPアドレス：45.56.71.66　（TCP443番ポート)

• 条件：「アップデートの確認」機能は停止済み。ファイアーウォールで外部接続を停止済み。
• 結果：　ファイアーウォールで止めているため、実際の接続はない。

参考（2022年7月4日追記）

次の記事を参考にしてください

参考：当社調べ

「(UID1073)」が外部接続するIPアドレス：119.63.197.139 (baidu.jp)（TCP443番ポート)

• 条件：ファイアーウォールで外部接続を停止済み。
• 結果：　ファイアーウォールで止めているため、実際の接続はない。

参考（2022年8月22日追記）

次の記事を参考にしてください

参考：外部記事

"TheTruthSpy exposed: This spyware lookup tool says if your Android device was compromised"

参考（2023年5月15日追記）

次の記事を参考にしてください

参考：外部記事

"Millions of Android Phones Comes Pre-Infected with Malware Firmware"

• 'The manufacturing of the gadgets is outsourced to an original equipment manufacturer (OEM). According to the researchers, this outsourcing makes it possible for someone in the manufacturing process, like a firmware provider, to infect devices as they are shipped out with malicious code. '
• （自動翻訳）
  'ガジェットの製造は、 相手先商標製品製造業者 (OEM) に委託されます。 ''このアウトソーシングにより、ファームウェア プロバイダーなどの製造プロセスに携わる者が、出荷されるデバイスに悪意のあるコードを感染させることが可能になります。 '
  by RainbowLinkInc ( 2023-05-15T17:12:23+09:00 ) ( 1658022501153382401 )
  https://twitter.com/RainbowLinkInc/status/1658022501153382401

参考（2024年2月19日追記）

次の記事を参考にしてください

参考：外部記事

"How Cops Can Secretly Track Your Phone"

• 自動翻訳