「Steamtv Esp」と呼ばれるキャンペーンは、2026年6月11日から7月3日にかけて、Metaユーザー約570,000人に到達した可能性があり、スペインが主な標的となっているようです。
このキャンペーンでは、以前のIPTVをテーマとしたマルウェアキャンペーンと同様、テレビストリーミングを餌にした手口が使われています。広告をクリックした被害者はフィッシングサイトに誘導され、そこでAndroid端末かどうかが判定されます。Android以外の端末からアクセスした場合、ダウンロードボタンは表示されません。
Androidユーザーは、提供元不明のアプリのインストールを許可し、アクセシビリティサービスを有効にする手順へと誘導されます。その後、「StrεαmTV Pro」のようなストリーミングアプリに偽装した悪意のあるAPKがダウンロード・インストールされます。
ThreatFabricによると、このペイロードは、以前Mirax Androidトロイの木馬を配布していた攻撃者に関連するGitHubリポジトリでホストされていたとのことです。この攻撃者はGodFatherマルウェアも使用しており、Androidを狙った金融詐欺活動を継続的に行っていることがうかがえます。
StreamRATは、HTMLページと埋め込まれたJavaScriptを使って被害者をインストール手順に誘導するドロッパーによって展開されます。
このドロッパーは、デバイスのデフォルトのランチャーになることを要求する場合があり、これによりユーザーがホームボタンを押すたびに制御を取り戻せるようになります。
注目すべき特徴として、機能しないVPN接続の悪用が挙げられます。最終的なペイロードをダウンロードする前に、ドロッパーはVPN権限を要求し、デバイスのトラフィックの大部分を、データを実際には転送しない接続へと経由させます。マルウェア自体はこのVPNの対象から除外されています。
これにより他のアプリのインターネット接続が一時的に遮断され、クラウドベースのレピュテーションチェックやオンライン分析ツールの有効性が低下する可能性があります。
StreamRATがインストールされ起動すると、ドロッパーはVPNを無効化し、トロイの木馬がコマンド&コントロールサーバーと通信できるようにします。
その後、マルウェアはアクセシビリティ権限を要求し、インストール済みアプリの一覧を収集し、フォアグラウンドで動作しているアプリを監視し、被害者が入力した情報を取得します。
StreamRATは、アクセシビリティサービスと2種類の画面監視モードを通じて、攻撃者に広範なリモート制御能力を与えます。
VNCモードでは、AndroidのMediaProjection APIを使って被害者の画面をキャプチャし、ストリーミング配信します。このマルウェアは画像を元のサイズの35%に縮小し、WebP形式で圧縮することで帯域幅の使用量を抑えています。また、Adler-32チェックサムを比較することで、重複フレームの送信を回避しています。
もう一つの隠しVNCモード(HVNC)は、アクセシビリティAPIを通じて200ミリ秒ごとにスクリーンショットを取得します。MediaProjectionとは異なり、この方式では画面共有中であることを示すインジケーターが表示されない場合があり、被害者に気づかれにくくなっています。
このトロイの木馬はAndroidのUIツリーも収集できるため、攻撃者はスクリーンショットのみに頼らずとも、画面上のテキストやボタン、アプリの各要素を再構築できます。これにより、銀行アプリやログイン画面をより迅速に監視することが可能になるとThreatFabricは述べています。
注: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されるのを防ぐため、意図的に無害化(defang、例: [.])されています。再有効化(re-fang)は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化する
翻訳元: https://cyberpress.org/streamrat-seizes-android-devices/
