Octagonアンドロイドボット、金融アプリを標的に

新種のAndroidマルウェアが現在、サイバー犯罪者による被害者スマートフォンの乗っ取りを可能にしています。この乗っ取りは、ユーザーが銀行アプリや暗号資産ウォレットを操作している最中に発生します。さらにこのマルウェアは、確認コードを傍受し、ユーザーインターフェース要素を巧妙にすり替えることにも成功しています。iVerifyのセキュリティ専門家は、Octagonと名付けられたこの脅威を2026年6月に初めて発見しました。AndroidKitKatとして知られる開発者が、アンダーグラウンドのサイバー犯罪フォーラムで月額1,400ドルでこのプログラムを積極的に販売しています。

概要:Octagonの感染モデル

Octagonの最初の広告は6月1日に登場しました。AndroidKitKatは厳格なサブスクリプション形式でこのマルウェアを提供しています。その後、開発者は6月29日にバージョン1.2のリリースを発表しました。購入者は、悪意のあるAndroidアプリケーションのペイロードとともに、事前設定済みのWindows向け指令サーバー(C2)パネルを受け取ります。感染に成功すると、攻撃者はインストール済みのプログラムを自由に閲覧し、デバイス画面をリアルタイムで確認できます。さらに、特定のアプリケーションを起動したり、ボタンを遠隔操作でクリックしたり、テキストを入力したり、複雑なジェスチャーを実行したりすることも可能です。

感染チェーンと技術的な仕組み

Androidユーザー補助機能の悪用

Octagonアンドロイドボットは主に、標準のAndroidユーザー補助機能(Accessibility Services)を利用します。ユーザーが不用意に悪意のあるアプリケーションにこの機能へのアクセスを許可してしまうと、マルウェアは他の実行中プログラムのインターフェース要素に関する詳細情報を包括的に取得します。その結果、Octagonは正規のアプリケーションウィンドウの上に、偽のページを動的に重ねて表示できるようになります。そして、被害者にパスワードや暗号資産ウォレットのシードフレーズ、その他の機密性の高いアカウント認証情報を入力するよう欺いて促します。

このマルウェアには現在、Trust Wallet、Binance、MEXC向けに特別に設計された事前構築済みのフィッシングテンプレートが搭載されています。さらに購入者は、独自のカスタムテンプレートを組み込む機能も利用できます。包括的な管理パネルは、インストール済みアプリケーションをインテリジェントに識別し、表示されている金融残高を読み取ることも可能です。iVerifyの調査チームは、OctagonがTrust Wallet、MetaMask、Binance、MEXC、TON Keeperを明確に標的としていることを突き止めました。標的リストには、Telegram、WhatsApp、Viberといった人気のコミュニケーションプラットフォームも含まれています。開発者はバージョン1.1の公式リリースノートにおいて、さまざまなアプリケーションを標的とする457個もの個別ルールを統合したと主張しています。

SMSと二要素認証の傍受

Octagonは、SMSメッセージや重要なワンタイム認証コードを傍受するという恐るべき能力を備えています。また、ひそかにスクリーンショットを撮影し、PIN、パスワード、図形によるロック解除パターンを窃取することもできます。研究者が分析したある亜種は、SMSメッセージの読み取り、受信、送信の権限を積極的に要求していました。その後、受信したすべての通信内容をひそかに遠隔操作者へ転送していました。一方、別の亜種には傍受機能が備わっていたものの、初期設定の段階で必要な権限を明示的には要求していませんでした。

指令(C2)インフラストラクチャ

このトロイの木馬は、TCPポート4444を利用して指令サーバーとの間に暗号化された接続を確立します。分析対象となった3つの検体すべてにおいて、専門家らは同一のcom.kisa.octagonpanelパッケージを確認しました。また、WardAccessibilityServiceコンポーネント、WardおよびGuardianによるコマンド交換の仕組み、そして標準化されたデフォルトのキーフレーズoctagon-default-key-change-meも確認されています。ただし、具体的なサーバーアドレスや、おとりアプリケーションの外観については、検体ごとに大きく異なっていました。

永続化と検知回避の手口

このマルウェアは、初期インストール後、可能な限り長く活動を続けようと執拗に試みます。ある亜種は、デバイスの再起動直後に自動的に実行されます。独立したバックグラウンドプロセス、標準のAndroidスケジューラ、バッテリー最適化の除外設定など、数多くの技術を駆使して継続的な動作を確保しています。悪意のある意図を効果的に隠すため、このプログラムはまったく無関係な無害なコンテンツを表示することがあります。例えば、分析されたある検体を起動すると、単に「Lifted Dreams」というゲームのウェブページが開くだけでした。その一方で、破壊的な悪意ある機能はバックグラウンドで静かに動作し続けていました。

BH Alertキャンペーンとの関連性

専門家らは、Octagonを、Dream Groupが以前分析したBH Alertキャンペーンと関連付けることに成功しました。この特定のキャンペーンでは、攻撃者はバーレーンの民間防衛(civil defense)に関連したテーマを利用していました。攻撃者は偽のGoogle Playページ、偽の政府ウェブサイト、そして複雑な多段階のインストールチェーンを展開していました。最終的なペイロードコンポーネントには、同一のcom.kisa.octagonpanelパッケージが含まれていました。さらに、ポート4444、まったく同じキーフレーズ、そして同一のWardおよびGuardianの仕組みも利用されていました。

Octagonの脅威を検知する

驚くべきことに、Google Play Protectがデバイス上に悪意のあるアプリケーションを検出しなかったと報告した場合でも、Octagonは問題なく機能してしまいます。この検知回避が発生するのは、このマルウェアの能力の大部分が、標準的かつ正規のAndroid機能に全面的に依存しているためです。ユーザーは、インストールしたアプリケーションに対して、これらの強力な機能へのアクセスを手動で許可する必要があります。

潜在的な感染を正確に特定するため、iVerifyは公式のGoogle Playストア以外からインストールされたアプリケーションを入念に精査することを強く推奨しています。ユーザーは特に、ユーザー補助機能、インストール済みアプリケーションの一覧、無制限のバックグラウンド動作、バッテリー最適化の除外設定へのアクセスを要求するプログラムに警戒すべきです。加えて、セキュリティ管理者は、TCPポート4444を利用する不審な接続がないか、ネットワークトラフィックを積極的に監視する必要があります。また、WardAccessibilityService、OctagonBridge、WARD_GATE_ANSWERといった特徴的な文字列がないかも調査すべきです。サーバーアドレスやおとりの外観は頻繁に変化するため、単独のネットワークアドレスのみに頼るよりも、アプリケーションの挙動を分析するほうが、感染のはるかに信頼性の高い指標となります。