THost9、AndroidのRAT型マルウェアがパック化されたローダーとADBワームを組み合わせて拡散

パック化されたAndroidのリモートアクセス型トロイの木馬(RAT)が、実行コードを隠すローダーと、外部に露出したAndroid Debug Bridge(ADB)サービスをスキャンして到達可能な端末に自らをインストールするワーム機能を組み合わせていることが分かりました。

Dark Atlasは9月8日に公開した調査報告の中で、同社がTHost9として追跡しているこのマルウェアが、Androidアプリケーションパッケージ内に実行コードを隠し、tc9.dexと呼ばれる第2段階のペイロードを読み込んでいたと述べています。

Dark Atlasは、各検体に共通して見られる名前空間、証明書、クラス名にちなみ、この広範なクラスタを「Hagaseca」と命名しました。

パック化されたローダーがRATを隠蔽

パック化されたローダーは、埋め込まれたアセットを使って実行コードを隠していました。Dark Atlasの調査によると、このアセットは1バイトのXOR演算で復号された後、gzipで展開され、復元されたペイロードが動的に読み込まれる仕組みでした。

その後、ローダーはフォアグラウンドサービスを起動し、自身のアクティビティをAndroidの「最近使用したアプリ」画面から除去したうえで、ほぼ空白の通知を表示していました。また、保護された設定権限がすでに付与されている場合に限り、デバイスのインターフェースを制御できるアクセシビリティサービスを有効化できる仕組みも備えていました。

第2段階のペイロードでは、シェル実行、ファイル転送、トンネリング、リバースシェルによるアクセス、ダウンロード可能なモジュールといった機能が追加されていました。さらにDark Atlasは、検証したビルドの一つで、認証を経ずにコマンドを受け付けるローカルコントローラーを発見していますが、すべてのインターフェースにバインドされていたからといって、そのソケットがインターネットから到達可能であったことを証明するものではないとしています。

Androidマルウェアに関する関連記事: 数千件のAndroidマルウェア検体にAPKの改ざんが見つかる

研究者らは9月4日にこのマルウェアのコマンド&コントロール(C2)ホストの名前解決を行い、その前日に実施した分析担当者による確認でも、このエンドポイントがローダーの使用する接続シーケンスを依然として受け付けていることが判明したとしています。

新しいビルドでは、セキュリティ研究者が一般的に使用する計装フレームワークであるFridaを検知するアンチ解析機能が追加されていました。この痕跡が検出されると、検体は動作を終了する仕組みになっています。

ADBワームが露出端末を標的に

最も重大な拡散機能は、第2段階に組み込まれたADBワームです。Dark AtlasはAndroidのローカルサービス検出機構を通じてADBサービスを発見できるほか、操作者が選択したターゲットを受け付けることもでき、1つのアドレスから65,025ホスト分の範囲に拡張したうえで、50個のワーカーを使って探索できると述べています。

その後、用意されたADBの鍵情報を使って認証を行い、インストーラーパッケージを取得して実行していました。リモートセッションが特権を持つ場合には、ADBの設定やポートを変更したり、自身をシステムディレクトリにコピーしたりすることも可能でした。

公開されているインシデント報告では、THost9とその前身であるTHost4が、ADBが外部に露出したAndroidスマートフォンやRedroidコンテナに関連付けられており、2024年10月に最初に確認されたTHost4検体から2026年に至るまで確認されています。2026年7月に行われた修復作業では、感染が発生した後にRedroidの展開環境がlocalhostのみに限定されました。

Dark Atlasは、ADBサービスをスキャンしたこと自体がアクセス権の取得を意味するわけではないと注意を促しています。ただし、インシデント記録と回収されたスキャナーは、感染とADBまたはRedroidの外部露出とを直接結び付けているとしています。

研究者らは、パッケージ名、その署名証明書、そして2つの非公開キャッシュファイルを検知の手がかりとして挙げ、ADBの外部露出をなくすとともに、アクセシビリティサービスや永続化されたRedroidデータを確認するよう呼びかけています。

また、Hagasecaはアーティファクトに基づいて定義されたクラスタであり、今回の証拠だけでは特定の脅威グループの正体を裏付けるには至っていないとしています。