新種Androidトロイの木馬「StreamRat」がMeta広告で拡散 — スペインで57万人が広告に接触、遠隔から端末を完全掌握

ThreatFabricは2026年9月2日、新種のAndroid向けバンキング型トロイの木馬「StreamRat」を報告した。同社の調査によると、攻撃者はMetaとTikTokの広告で無料テレビ視聴サービスを装い、スペイン語圏の利用者を偽サイトへ誘導した。広告キャンペーン「Steamtv Esp」は2026年6月11日から7月3日にかけて約57万人のMeta利用者に表示され、被害の大部分はスペインに集中していた。

感染は多段階で進行する。偽サイトはJavaScriptでAndroid端末かを判定し、Android以外ではダウンロードボタンを隠して進行を止める。Androidと判定された場合、「r1edmi.html」へリダイレクトし、InstagramやTikTok、Facebook、ブラウザのいずれから開かれたかを判定して表示する手順を切り替える。最終的に表示される6段階の手順は、Chromeでの「提供元不明のアプリのインストール許可」と「Accessibility Service（ユーザー補助サービス）の有効化」を被害者自身に実行させる内容だ。同時にバックエンドAPIへTelegram通知を送り、ダウンロードURLを配信する。ファイル名は app.apk で、実体はGitHubリポジトリから取得されるドロッパーだった。

ドロッパーが仕掛ける「通信遮断」の新手法

ドロッパーはHTMLとJavaScriptで構成された3つのページ（index.html / set_launcher.html / vpn_required.html）を内包する。まず set_launcher.html が自身を端末の既定のホームアプリ（ランチャー）に設定させ、HOMEボタンで常にドロッパー画面に戻る状態を作る。その後 index.html が埋め込みURLから最終ペイロードを Downloads/update_{timestamp}.apk として保存し、提供元不明アプリのインストール権限を求めてセッションベースのインストールでStreamRat本体を導入する。

この過程で注目されるのが、ThreatFabricが「比較的新しいTTP」と指摘したインターネット遮断の手口だ。ドロッパーは最終ペイロードのダウンロード前にVPN接続の許可を求め、許可されるとすべての通信を自身を除外したVPNトンネルへ流す。ただし転送処理は行わず、あえて通信をどこにも転送しない不完全なVPNを確立する。ThreatFabricは、この手法が一時的に他アプリのインターネット接続を奪い、Google Play Protectなどのクラウド型評価やレピュテーション照会を妨害する狙いと分析した。Play Protectは既知の有害アプリについてはオフライン検知も行うため完全な回避にはならないが、未知パッケージのオンライン解析の精度を下げる効果があると同社は評価している。インストール完了後、StreamRat本体がAccessibility権限を取得するとドロッパーはVPNを無効化し、自身のホーム設定を解除する。

StreamRat本体 — VNC/HVNCとオーバーレイで端末を掌握

StreamRatは起動直後にAccessibility Serviceの許可を求め、許可後にC2サーバーへ接続する。最初のWebSocket昇格要求では X-Device-Id / X-Device-Model / X-Api-Level の3つのカスタムヘッダーで端末指紋を送る。以降はWebSocket上のRPC的プロトコルで通信し、バイナリとJSONの両形式を併用する。C2アドレスとボットタグはトロイの木馬内にハードコードされている。

ThreatFabricによると、StreamRatは次の能力を備える。

• VNC（MediaProjection API） : システムの画面キャプチャ許可ダイアログを自動操作して全画面共有を有効化し、createVirtualDisplay() と ImageReader で画面を取得。取得画像は35%に縮小しWebP品質40%で圧縮する。重複フレームはAdler-32チェックサムで排除し、静的オーバーレイ表示中は可逆圧縮（WEBP_LOSSLESS）に切り替える。
• HVNC（Accessibility takeScreenshot API） : 200ミリ秒ごとにAccessibility経由でスクリーンショットを取得する不可視の手法。VNCのような共有インジケータが表示されず、被害者に気づかれにくい。
• Accessibility Node Viewer : 画面のUI要素ツリー（要素の位置とテキスト）をJSON化して送信するテキストベースの画面把握機能。Adler-32で差分を判定し、同一内容の再送を抑える。
• オーバーレイ攻撃 : 前面アプリが切り替わるたびに maintenance_check と injection_check でパッケージ名をC2へ送り、自動オーバーレイまたは即時オーバーレイの指示を受ける。黒画面や更新画面、任意のHTMLを表示して認証情報を窃取する。
• 入力窃取と遠隔操作 : UIツリー収集、キー入力の継続的監視、クリップボード貼り付け、シェルコマンド実行、タップ/スワイプ/戻る・ホーム操作、画面ロック、トースト表示、アプリ一覧収集（50件ずつ分割、10ミリ秒間隔）、偽通知の生成などをC2コマンドで制御する。

アプリ一覧や画面フレームはバイナリ形式で送られ、コマンド識別子と状態、ペイロード長を含む独自フォーマットを採用する。

MaaSとして流通、背後に複数ファミリーの開発者

ThreatFabricは、StreamRatの配布に使われたGitHubユーザーが過去にMiraxトロイの木馬を配布していた同一人物であり、コード上の管理パネル（コントロールパネル）の構造からMaaS（Malware-as-a-Service）として開発されたと分析した。観測された被害ではGodFather、Mirax、StreamRatの少なくとも3つの金融マルウェアファミリーが同じ攻撃者によって使い分けられていた。C2プロトコルは過去のSturnusと緩やかに類似し、現代のAndroidトロイの木馬で一般的になりつつあるWebSocketベースの設計を採用している。Adler-32による重複排除は通信量とバックエンド負荷を抑える最適化で、拡張性を意識した経験豊富な開発者による実装と同社は評価した。

対策 — 提供元不明のインストールと権限付与に注意

ThreatFabricが実際に推奨として明記した対策は、報告書内で次の点に集約される。

• 提供元不明アプリのインストールとVPN・Accessibility権限の同時要求は強いリスクシグナルとして扱う。同社は、パッケージインストール機能とVPN機能の両方を宣言するアプリは精査が必要と指摘した。
• Google Playなど公式ストア以外からのAPKインストールを避け、広告やSNS経由の「無料視聴アプリ」などの誘導では安易に手順に従わない。
• Accessibility Serviceや画面共有の許可は、求められた文脈が正当かを都度確認する。StreamRatは正規機能を悪用して遠隔操作を実現するため、許可後は端末全体が掌握されるおそれがある。

同社はまた、一時的な通信遮断中に被害者への誘導が続く場合、メッセンジャー通話ではなく通常の携帯音声通話が使われる可能性にも触れ、組織では不審なVPN確立やホームアプリの書き換え、Downloadsフォルダへの update_*.apk 生成などの挙動を監視することが有効としている。

出典

• ThreatFabric「Uncovering StreamRat: From Meta Ads to Full Device Takeover」（2026年9月2日） https://www.threatfabric.com/blogs/from-meta-ads-to-full-device-takeover-uncovering-streamrat