StreamRATがAndroidのアクセシビリティ、MediaProjection、HVNCを悪用しデバイスを完全乗っ取り

StreamRATは、MetaやTikTokの無料テレビ配信を装った偽広告を通じて拡散される、新たに確認されたAndroidバンキングトロイの木馬です。

「Steamtv Esp.」として追跡されているこのキャンペーンは、主にスペイン語圏のAndroidユーザーを標的としており、2026年6月11日から7月3日にかけて推定570,000人のMetaユーザーが被害にさらされました。

この攻撃は、海賊版コンテンツをテーマにしたソーシャルエンジニアリングが今も高い効果を持ち続けていることを浮き彫りにしています。ストリーミング広告をクリックした被害者は、Androidデバイスに限ってダウンロードを許可するフィッシングサイトへ誘導されます。

このサイトは、訪問者がInstagram、Facebook、TikTok、ブラウザのいずれからアクセスしたかに応じてインストール手順を変え、提供元不明のアプリのインストールを許可し、Androidのアクセシビリティサービスを有効にするよう誘導します。

StreamRATキャンペーンは、段階的にAPKを配信する方式を採用しています。最初にインストールされるアプリケーションはドロッパーで、以前Miraxバンキングトロイの木馬の配布に使われていたツールに酷似しており、そのペイロードは同一の攻撃者に紐づくGitHubリポジトリでホストされています。

ThreatFabricによると、この攻撃者はGodFatherマルウェアファミリーも使用していたとのことで、Androidの金融詐欺エコシステムに精通したオペレーターであることがうかがえます。

Antivirus& Malware

ドロッパーは、set_launcher.html、index.html、vpn_required.htmlなど、HTMLと埋め込みJavaScriptのページを使って感染プロセスを管理します。

ドロッパーは自らをデバイスのデフォルトランチャーにしようと試みます。これにより、被害者がホームボタンを押しても自身のインターフェースに戻ってくるようにします。

その後、最終的なAPKをupdate_{timestamp}.apkという名前で公開のダウンロードディレクトリにダウンロードし、Androidのセッションベースのパッケージインストール機構を使ってインストールします。

注目すべき回避手法の一つが、一時的にインターネット接続を遮断する機能です。最終ペイロードを取得する前に、ドロッパーは意図的に機能しないVPNトンネルを確立し、ドロッパー自体を除くすべてのデバイストラフィックをそこへ経由させます。

トラフィックが転送されないため、ペイロードがインストールされて起動するまで、他のアプリケーションは接続を失った状態になります。

ThreatFabricは、これはGoogle Play Protectのオフライン検知を完全に回避するというよりも、クラウドベースの評判チェックやコード解析を妨害する狙いが大きいとみています。

インストール後、StreamRATはAndroidのアクセシビリティサービス権限を要求し、WebSocket経由でハードコードされたコマンド&コントロール（C2）サーバーに接続します。

このマルウェアは、デバイスID、機種、Android APIレベルを含むカスタムヘッダーを通じてデバイスをフィンガープリンティングし、インストール済みアプリの一覧を最大50件ずつのチャンクに分けて送信します。

アクセシビリティ権限により、StreamRATはフォアグラウンドで動作しているアプリケーションを監視し、ユーザーが入力したデータを取得し、インターフェース要素を検査し、タップやスワイプを模倣し、ホームボタンや戻るボタンの動作を発生させ、HTMLオーバーレイを通じて認証情報を窃取できます。

ThreatFabricの研究者らによると、IPTVやスポーツ配信を餌にしたAndroidマルウェアの拡散手法は、スペイン、ポルトガル、イタリア、トルコ、インドにまで広がっているとのことです。

Antivirus& Malware

StreamRATによるAndroid悪用の手口

標的とするアプリが画面に表示されると、このマルウェアはそのアプリのパッケージ名を含むmaintenance_checkおよびinjection_checkリクエストを送信します。これにより、オペレーターはデバイス上で現在開かれているアプリケーションに合わせたバンキングオーバーレイを配信できるようになります。

このマルウェアは、テキスト、境界情報、ボタンなど、アクセシビリティのUIツリー全体を収集することもできます。

これにより、オペレーターはスクリーンショットを継続的に送信することなく、テキストベースの軽量な形で画面を再構築できます。StreamRATはAdler-32チェックサムを利用して変化のないUIデータの再送を避け、C2トラフィックとバックエンドの負荷を抑えています。

StreamRATは2つのリモート閲覧モードに対応しています。VNC機能は、createVirtualDisplay()とImageReaderを通じてAndroidのMediaProjection APIを悪用し、デバイス画面全体をキャプチャします。

このマルウェアは映像フレームを元のサイズの35%に縮小し、品質40のWebP画像としてエンコードした上で、直前のキャプチャとAdler-32チェックサムが異なるフレームのみを送信します。

MediaProjectionは通常、ユーザーの同意を必要とし、Androidのステータスバーに画面共有中を示すインジケーターを表示する場合があります。

しかしStreamRATは、既に取得済みのアクセシビリティ権限を利用してネイティブのキャプチャ確認ダイアログを操作し、全画面・全アプリ共有を自ら選択します。

AndroidのMediaProjectionフレームワークは、正規の録画やキャスト用途を想定したものですが、ユーザーが許可を与えてしまうと、フォアグラウンドの機密情報をキャプチャする目的で悪用されるおそれがあります。

さらに隠密性の高いHVNCモードでは、アクセシビリティAPIの呼び出しを通じて200ミリ秒ごとにスクリーンショットを取得します。

MediaProjectionによるストリーミングとは異なり、この手法では目に見える形での画面共有インジケーターが直接表示されないため、攻撃者は検知されるリスクを抑えながら被害者の操作を観察できます。

StreamRATのバックエンドには、デバイス管理、キャンペーン統計、インジェクションおよびメンテナンス用オーバーレイの管理、コマンドログ、ペイロード・ドロッパービルダー、さらにユーザー・監督者・管理者向けのロールベースアカウント機能が備わっています。

これらの機能から、StreamRATはサービスとしてのマルウェア（Malware-as-a-Service）プラットフォームとして構築されたことが強くうかがえます。この形態では、開発者がマルウェアと管理インフラを提供し、顧客側が拡散を担う分業体制が取られます。

Antivirus& Malware

防御側としては、サイドローディングを促すプロンプト、デフォルトランチャーの変更、VPN設定、アクセシビリティ権限の要求、予期しない画面キャプチャ動作を組み合わせたAndroidアプリケーションは、リスクの高い兆候として扱うべきです。

MITRE ATT&CKでは、Androidの画面キャプチャ悪用は技術T1513にマッピングされており、エンタープライズモバイル管理機能を通じて許可するアクセシビリティサービスを制限することが推奨されています。また、ユーザー自身も予期しない画面共有やアクセシビリティ権限の要求は拒否すべきです。

侵害指標（IOC）

注： IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無効化表記（例： [.]）にしています。再有効化は、MISP、VirusTotal、あるいは自社のSIEMなど、管理された脅威インテリジェンス基盤内でのみ行ってください。

★ 7段階のメトリクスゲート型AI SOC導入フェーズを学ぶ – 無料AI SOC導入プレイブック2026をダウンロード。