アンインストール後も遠隔操作が持続する新型Androidマルウェア「RatHat」が判明、ADB悪用や生成AIによる端末操作も

要点

• 中国を拠点とする脅威アクターが運用するとみられる、新型Androidマルウェア「RatHat」が発見された。

• ユーザー補助機能（アクセシビリティ）を悪用してADBの自己ペアリングを行い、アプリの保護区画（サンドボックス）を突破してシェル権限を奪取する。

• 画面構成をXML化して生成AIアシスタントに送信し、自動タップやスクロールなどのナビゲーションを行わせる仕組みを備える。

• 被害者がアプリ本体をアンインストールした後もシェルアクセスが維持され、マルウェアの再インストールや情報窃取が可能となっている。

• モバイルセキュリティ企業のZimperiumは2026年9月18日、Android端末を標的とする新たなマルウェア「RatHat」に関する調査結果を公表した。このマルウェアは中国拠点の脅威アクターによって運用されているとみられ、生成AIを活用した端末操作や高度な権限昇格機能を備えていることが明らかになった。アプリ本体が端末から削除された後でもシェルレベルの遠隔アクセスを維持し続ける特徴を持つという。

スミッシングや不正広告から感染、4つの解析回避技術を搭載

RatHatは主に、標的型スミッシング（SMSを用いたフィッシング攻撃）や不正広告（マルバータイジング）を通じて拡散されている。ユーザーを巧妙に作られたサードパーティのダウンロードポータルへと誘導し、不正なAPK（Androidアプリケーションパッケージ）ファイルをインストールさせる手口だ。

このAPKパッケージは攻撃本体を起動するためのドロッパー（侵入用プログラム）として機能するが、セキュリティ解析ツールによる検知を逃れるため、以下の4つの高度な解析妨害・アンチデバッグ技術が組み込まれていると報告されている。

• コンテナ改ざん（Container tampering）: パッケージ内の一部ファイルをディレクトリとして定義したり、ZIPファイルの暗号化フラグを設定したりする手法。Androidの標準ライブラリには無視させつつ、外部の解析ツールを誤作動させる。
• マニフェストボム（Manifest bomb）: 設定ファイル「AndroidManifest.xml」内に未公開のチャンクヘッダー（0x9999）を配置する手法。Androidの実行環境ではスキップされるが、自動解析パイプラインをクラッシュまたはタイムアウトさせる。
• DEXバイトコードポイズニング（DEX bytecode poisoning）: 不正な属性を持つ擬似命令を含めることで、解析ツールによるプログラムコードの逆アセンブル処理を失敗させる。
• 二重文字列暗号化（Dual string-encryption）: 「StringCrypto: Base64」と呼ばれる暗号化方式を適用し、コード内の文字列解析を困難にする。

3層アーキテクチャと「ADB自己ペアリング」による権限昇格

Zimperiumの研究者らによると、RatHatのアーキテクチャは「悪意あるAndroidアプリ」「Go言語製エージェント（Go Agent）」「FRP（Fast Reverse Proxy）リバースプロキシクライアント」という3つの主要コンポーネントで構成されている。

攻撃の第一段階を担うAndroidアプリは、まず端末のアクセシビリティサービス（身体の不自由なユーザーを支援するための機能）の権限を取得する。その後、この権限を悪用して端末の「開発者向けオプション」を自動で解放し、「ワイヤレスデバッグ」機能を有効化する。さらに、画面上に表示される6桁のペアリングコードを自動で読み取り、マルウェア自身が端末内のADB（Android Debug Bridge：開発者向けコマンドラインツール）と自己ペアリングを実行する。

この一連の動作により、RatHatはAndroidアプリが通常閉じ込められている保護区画（サンドボックス）を突破し、シェルレベルの強力な特権で動作するネイティブデーモンを配置・実行することが可能になる。

生成AIを利用した画面認識と自動ナビゲーション

RatHatの極めて特異な特徴として、端末の自動操作に市販の生成AIアシスタントを活用している点が挙げられる。

マルウェアは端末上で動作している画面のUI構造（Accessibilityツリー）をXML形式でシリアル化し、世界的に広く使われている生成AIアシスタントへ送信する。AI側は受け取ったXMLデータを解析し、指定された操作対象の中心座標をJSON形式で割り出して疑似的なタップ操作を指示したり、画面内の実際のテキスト情報を読み取ったりする。さらに、「SCROLL_DOWN」といった画面スクロールなどのナビゲーションコマンドをマルウェアへ返却し、画面の自動操作を実現しているという。

アプリ削除後もシェルアクセスを維持、広範なスパイ活動を実行

APKから呼び出されるGoエージェントは、ネイティブライブラリ「liblocal-service.so」を装って動作する。ローカルのADBデーモンから取得したシェル権限を利用してコマンドを実行し、端末の電力管理設定を変更してバッテリー最適化の対象から除外させるなど、動作の永続化を図る。

特筆すべき点として、被害者が不審に気づいてマルウェアのアプリ本体をアンインストールした場合でも、攻撃者側は端末へのシェルアクセスを保持し続ける。攻撃者はバックグラウンドで稼働するローカルサービスを通じてマルウェアが導入されているかを監視し、削除されていた場合には再インストールを試みることができるという。

また、オープンソースのリバースプロキシツールであるFRPクライアントは、C2（指令統御）サーバーへの安全なリバーストンネルを確立する。GoエージェントがC2サーバーからトンネル設定を取得することで、攻撃者はC2サーバー経由で端末内のADBデーモンへ直接アクセスできるようになる。

この接続を通じて、攻撃者はマルウェア自身の機能にとどまらない汎用的なコマンドを実行し、以下のような多岐にわたる不正操作を行う。

• 特定アプリの起動時に偽の画面を重ねて表示（オーバーレイ）し、認証情報を窃取
• AndroidのMediaProjection APIを悪用した画面録画
• SMSメッセージの傍受
• ロック画面のPIN、パターン、パスワードの収集
• キーストローク（入力キー履歴や入力されたURLなど）の記録
• 端末内ファイルの収集
• Google Playストアを装った偽のエラー画面を表示し、ユーザーによる正規のアプリインストール操作を妨害・上書き

Zimperiumの研究チームは、このリバーストンネルについて、攻撃者が端末に対して望むあらゆる操作を実行するための汎用的な侵入経路として機能していると指摘している。