Octagon、隠しVNCとアクセシビリティ機能の悪用によりオーバーレイで暗号資産ウォレットの認証情報を窃取するAndroidボット

Octagonは、これまで文書化されたことのないAndroid向けバンキング・暗号資産詐欺プラットフォームで、AndroidKitKatというハンドルネームを使うロシア語圏の脅威アクターがMalware-as-a-Serviceとして販売しています。

このツールキットは2026年6月1日にロシア語のサイバー犯罪フォーラムで初めて宣伝されたもので、アクセシビリティ機能の悪用、ステルス性の高いリモート制御、認証情報を盗むオーバーレイ、SMS傍受、デバイス偵察を組み合わせ、アカウントの直接乗っ取りと暗号資産の窃取を可能にします。

AndroidKitKatはOctagonのサブスクリプションを月額1,400ドルで提供しており、暗号資産ウォレット、取引所、バンキングアプリ、メッセージングサービス、Androidロック画面を狙うアフィリエイト向けのすぐに使えるプラットフォームと位置付けています。

6月29日にはバージョン1.2が発表されており、活発な開発と商用展開の拡大がうかがえます。

侵害されたデバイスは管理パネル上で「Wards」として表示され、運用者はインストール済みアプリ、画面内容、口座残高、アクセシビリティノードのデータを把握できます。

このマルウェアはWardAccessibilityServiceを登録し、被害者にAndroidのアクセシビリティサービスを有効化するよう促します。

この権限が付与されると、トロイの木馬は標的アプリ内のインターフェース要素を検査し、ジェスチャーを実行し、テキストを入力し、Androidのグローバルアクションを発動させ、従来型のリモートアクセス権限を必要とせずにセキュリティ上重要な画面を操作できるようになります。

この機能が特に危険なのは、攻撃者が被害者のデバイス上で、被害者の信頼済みセッション、IPアドレス、インストール済みアプリ、そして場合によっては既にロック解除されたウォレットやバンキングアカウントを利用して不正行為を実行できる点です。

これにより、新規デバイスや不審な場所からのログインを検知するよう設計されたリスクエンジンの有効性が低下してしまいます。

Octagonの運用者はアクセシビリティデータを利用してウォレットアプリを特定し、それを起動して表示中の残高を読み取り、アプリ固有のフィッシングオーバーレイを展開できます。

このプラットフォームには隠しVNC方式のリモート制御機能が組み込まれており、運用者は被害者のAndroid画面を閲覧・操作できます。

コマンドによってスクリーンショットの取得、インストール済みアプリの列挙、パッケージの起動、タップやスワイプの送信、テキストの入力、Androidのグローバルアクションの実行が可能です。

認証情報を狙うオーバーレイは、パッケージ固有のテンプレートを通じて配信されます。標的となるアプリが開かれると、Octagonは正規のインターフェースの上に編集可能なWebViewを重ね、ウォレットのシードフレーズやパスワード、PIN、アカウント復旧情報の入力を要求します。

iVerifyの脅威インテリジェンスチームがOctagonを特定しました。このマルウェアは、com.kisa.octagonpanelというAndroidクライアントパッケージを中心に構築されており、Windowsベースの指令サーバー(C2)パネルに接続します。

取得された入力内容は、OctagonBridgeを通じてWardGateAnswerレコードとしてパネルに送り返されるとみられます。

同じフレームワークは、Androidシステムユーザーインターフェースやベンダー独自のロック画面コンポーネントも標的にでき、ロック解除パターンやパスワード、PINを取得できます。

これにより攻撃者は、被害者が不審な挙動に気づいて対象デバイスを保護しようとした場合でも、制御を維持する手段を確保します。

このマルウェアはワンタイムパスワードの窃取にも対応しています。「Lifted Dreams」と名付けられたサンプルは、SMSメッセージの読み取り・受信・送信の権限を要求し、受信内容をWardSmsReceivedイベントとして運用者に転送します。

これにより、銀行の確認コード、取引所のログイン情報、パスワードリセット通知、取引確認メッセージを直接傍受する経路が生まれます。

研究者らはOctagonに関連する3つのAPKを回収しました。「Octagon」「Lifted Dreams」「BahrDate」です。

テーマ、C2インフラ、署名方式、権限フローはそれぞれ異なるものの、Ward・Guardianプロトコル、暗号化ルーチン、オーバーレイ用アセット、アクセシビリティ設定、埋め込み識別子は共通しています。

Octagon Androidボット

このクライアントは制御通信にAES-GCM暗号化を使用し、TCPポート4444番で通信します。共通して確認されたハンティング用の手がかりには、octagon-default-key-change-me、WardAccessibilityService、OctagonBridge、WARD_GATE_ANSWER、GUARDIAN_SET_PACKAGE_TEMPLATESが含まれます。

提供されるテンプレートはTrust Wallet、Binance、MEXCを装っているとみられる一方、アフィリエイトはMetaMaskやTON Keeperなど他の標的向けにカスタムのHTML WebViewページを作成することも可能です。

あるサンプルは45.192.12[.]34:4444に接続しており、Lifted Dreamsは104.251.180[.]179:4444を使用していました。Octagonのモジュール式設計により、アフィリエイトは接続先ホストや偽装コンテンツを迅速に変更できるため、これらは網羅的なインフラ情報ではなく過去の痕跡情報として扱うべきです。

永続化機能には、起動時の実行、フォアグラウンドサービス、独立したisolated:guardプロセス、AlarmManagerおよびWorkManagerによる監視、Dozeモードからの復旧、バッテリー最適化の除外を促すプロンプト、OEM各社の自動起動設定への誘導、無音オーディオによるキープアライブ動作が含まれます。

これらの仕組みは、Androidの電力管理機能による制限があってもクライアントを稼働させ続けることを狙ったものです。

Octagonの配布手法は、無関係なアプリを装ったサイドロードAPKに依存しています。

Lifted Dreamsの亜種は、権限が付与された後に組み込みのビジュアルノベルゲームを表示し、悪意あるサービスをもっともらしい被害者向けインターフェースの裏側で稼働させ続けます。

Dream Groupが文書化した関連キャンペーンでは、バーレーン民間防衛(Bahrain Civil Defense)のブランドを装い、偽のPlayストアページ、政府関連を騙る誘導文言、模擬インストールプロンプト、多段階のAPKチェーンを使用していました。

最終的なペイロードは、Octagonのパッケージ名、Ward・Guardianコンポーネント、デフォルトの暗号化パスフレーズ、ポート4444番での通信、Fenrir Launcherのカバー用URLを共有しており、このキャンペーンがより広範なエコシステムとつながっていることを示しています。

防御側は、アクセシビリティアクセスを要求するサイドロード型のAndroidアプリを、パッケージの列挙、フォアグラウンドでの実行、ウェイクロック、バッテリー最適化の除外、SMS権限の要求と併せて調査すべきです。

ネットワーク検知においては、特にOctagon固有のクライアント文字列と組み合わさっている場合、ポート4444番経由の暗号化されたアウトバウンドTCPセッションを優先的に検知対象とすべきです。

このキャンペーンは、Play Protectの結果だけではデバイスの安全性を保証できないことも示しています。被害者が手動で有効化した権限をトロイの木馬が悪用し続けていても、「有害なアプリは検出されませんでした」と表示される場合があるのです。

高価値の暗号資産を扱う組織は、モバイルアプリケーション制御を強制し、可能な限りサイドロードをブロックし、アクセシビリティサービスの権限付与を監視し、ウォレット利用者にはすべてのシードフレーズ入力要求をデフォルトで悪意あるものとみなして確認するよう求めるべきです。

侵害指標(IOC)

注記: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため意図的に無効化表記(defang、例: [.])としています。再度有効な表記に戻す際は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内でのみ行ってください。

[ライブウェビナー] Elastic&UnderDefenseと共に、少人数のセキュリティチームがAIの可視性とエージェント型対応を1つの運用モデルに統合する方法を学びましょう。-> 今すぐ登録