Octagonと名付けられた新種のAndroidマルウェアプラットフォームが、隠し遠隔操作機能とアクセシビリティ機能の悪用を通じて、暗号資産ウォレット、銀行アプリ、メッセージングサービスを標的にしていることが判明しました。
脅威インテリジェンスチームは2026年6月にこのマルウェアを発見しました。このツールは、AndroidKitKatと名乗るロシア語圏の脅威アクターによって、マルウェア・アズ・ア・サービス(MaaS)として販売されています。
運営者は購入者に対し月額1,400ドルを請求し、感染したAndroid端末を管理するためのWindowsベースの管理パネルを提供していると報じられています。
Octagonは端末上での不正利用を目的として設計されています。インストールされると、Androidのアクセシビリティ権限を悪用して画面の内容を読み取り、アプリケーションを監視し、認証情報を収集し、正規アプリの上に偽のログイン画面を重ねて表示できます。
このマルウェアは暗号資産ウォレット、取引所、銀行取引プラットフォーム、そして被害者が認証コードを受け取る可能性のあるメッセージングサービスを標的にできます。
運営者は2026年6月1日、ロシア語のサイバー犯罪フォーラムでOctagonの宣伝を開始しました。同月後半にはバージョン1.2のアップデートが発表されています。
フォーラムでの活動やバックエンドのログはロシア語圏の開発者の存在を示唆していますが、販売資料や管理パネルは英語で書かれており、このサービスが国際的な買い手層に向けて展開されていることがうかがえます。
Octagonは、侵害されたスマートフォンを「Wards(被監視者)」として表示するコマンド&コントロール(C2)パネルを使用します。
運営者はこのパネルから、インストール済みアプリの確認、画面内容の検査、フィッシング用オーバーレイの展開、スクリーンショットの取得、被害者端末への遠隔操作を行うことができます。
このマルウェアパッケージはcom.kisa.octagonpanelとして識別されます。WardAccessibilityServiceという名前のアクセシビリティサービスを登録し、インストール後もフォアグラウンドサービスを実行し続けることで活動状態を維持します。
被害者は通常、アクセシビリティ権限の付与をだまし取られる形になっており、これによりマルウェアは他のアプリ内のインターフェース要素を検査できるようになります。
この権限があれば、Octagonは被害者が標的となっているウォレットアプリや銀行アプリを開いたタイミングを特定できます。そしてWebViewを通じて本物そっくりのHTMLベースのオーバーレイを表示することが可能です。
このオーバーレイは、シードフレーズ、パスワード、PIN、口座情報、その他の機密情報の入力を要求してくる場合があります。
研究者らは、Trust Wallet、Binance、MEXCなど人気の暗号資産サービスを標的としたテンプレートを発見しました。購入者は他のアプリケーション向けにカスタムオーバーレイを追加できると報じられています。
窃取された情報はWardGateAnswerと呼ばれるレコードを通じて管理パネルに送信されます。
このマルウェアは隠しVNC方式の遠隔操作にも対応しています。運営者はアプリの起動、タップやスワイプの実行、テキストの入力、スクリーンショットの取得、Androidのグローバルアクションの実行が可能です。
これにより犯罪者は、被害者のスマートフォンがロック解除されて接続されたままの状態で、取引を実行できてしまいます。
Octagonは、AndroidのシステムUIや端末メーカー独自のロック画面パッケージから、パターンロック、パスワード、PINを取得することもできます。
一部のビルドではSMSメッセージやワンタイムパスワードを傍受できるため、攻撃者が多要素認証を回避する手助けになるとiVerifyは述べています。
注記: IPアドレスとドメインは、誤った名前解決やハイパーリンク化を防ぐため意図的に無害化してあります(例: [.])。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理されている脅威インテリジェンスプラットフォーム内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を完全に把握し、SOCを強化してMTTRを短縮しましょう
翻訳元: https://cyberpress.org/octagon-android-wallet-banking-threat/
