Meta広告を悪用したAndroidマルウェア「StreamRat」が判明、端末の完全制御や認証情報窃盗の恐れ

要点

• Meta上の偽テレビ動画配信広告を通じて拡散するAndroidバンキング型トロイの木馬「StreamRat」が確認された。

• 端末に感染すると「ユーザー補助」権限などを悪用され、画面の監視やキーストロークの記録、端末の遠隔操作が行われる恐れがある。

• インストール中に一時的なVPN接続を確立して他の通信を遮断し、セキュリティ解析を妨害する手口が用いられている。

• スペインを中心にEU圏内で57万件以上のアカウントに広告が届いたとされるが、実際の感染端末数などは明らかになっていない。

• セキュリティ調査企業のThreatFabricは2026年9月2日、Metaの広告配信サービスを悪用して拡散されていた新たなAndroid向けバンキング型トロイの木馬「StreamRat」に関する調査結果を公表した。このマルウェアは偽のテレビ動画配信サービスを装ってスペイン語圏のユーザーを標的にしており、感染した端末の制御権を攻撃者に奪われる危険性があるという。キャンペーンは2026年6月から7月にかけて展開され、EU圏内において57万件を超えるアカウントに広告が表示されたことが判明している。

ソーシャルメディア広告から始まる感染プロセス

ThreatFabricの報告によると、攻撃はソーシャルメディア上に掲載された偽の配信アプリ広告を起点としている。ユーザーが広告をクリックすると、攻撃者が用意した専用のウェブサイトへ誘導される。

誘導先のウェブサイトでは訪問者のオペレーティングシステム（OS）が自動的に判別され、Android端末からのアクセスである場合のみダウンロードボタンが表示される仕組みとなっていた。ユーザーはそこから「app.apk」というファイルをダウンロードするよう促される。

ダウンロードされるファイルは、後から本体プログラムを導入するための媒介となる「ドロッパー」アプリとして機能する。ユーザーがこのファイルを手動で起動すると、アプリは端末の標準「ホームアプリ」として自身を設定するよう要求する。この設定が許可されると、ユーザーがホームボタンを押すたびにマルウェアの画面へ戻される状態が作られる。

VPN機能を利用した検知回避と本体ペイロードの導入

続いてドロッパーは、最終的な不正プログラムである「ペイロード」を取得する前段階として、端末にVPN接続を確立する許可を求める。このVPN機能には、セキュリティ検知を妨害するための工作が組み込まれていた。

VPN接続が承認されると、ドロッパー自身の通信を除いた端末内の全トラフィックが機能しないインターフェースへとルーティングされる。これにより、インストール処理が行われている間、他のアプリやシステムのインターネット接続が遮断される。ThreatFabricはこの通信遮断について、オンラインによる評価確認（レピュテーションチェック）やコードの動的解析を妨害する狙いがあると分析している。なお、Android標準の保護機能であるGoogle Play Protectは既知の有害アプリに対するオフライン検知を備えているため、この妨害工作による影響は限定的とされる。

通信が遮断されている間に、ドロッパーは公開のダウンロードディレクトリへStreamRatの本体を「update_{timestamp}.apk」というファイル名で保存する。その後、「提供元不明のアプリのインストール」権限を要求し、Androidの正規パッケージインストール機能を通じて本体を端末に導入する。ペイロードの実行が確認されるとVPNは切断され、端末の通常の通信状態が復元される。

「ユーザー補助」権限の悪用と2系統の画面監視

導入されたStreamRatが起動すると、Androidの「ユーザー補助（Accessibility）」機能へのアクセス許可を要求する。ユーザーがこの権限を与えると、マルウェアは攻撃者が制御するC2サーバー（指令統制サーバー）への接続を確立する。

ユーザー補助権限を手に入れた攻撃者は、以下のような遠隔操作や情報窃取を実行できるようになる。

• 画面上の入力内容を記録するキーストロークロギング
• 銀行アプリなどの上に偽画面を表示して認証情報を盗むオーバーレイ攻撃
• 画面インターフェースの構造や表示内容の監視
• 端末に対するリモートコントロール

さらに、StreamRatには画面をリアルタイムで把握するための2種類のキャプチャ機能が備わっている。1つ目はAndroid標準の「MediaProjection」APIを利用する方式で、通常表示される画面共有の同意確認ダイアログを、事前に取得したユーザー補助権限を用いて自動的に承認・突破する。2つ目は、ユーザー補助機能の「takeScreenshot()」メソッドを直接呼び出す方式で、こちらは画面共有インジケーターを表示させずに画面を撮影できる。

広告の配信規模と確認された脅威指標

本キャンペーンはMetaの広告基盤を悪用して2026年6月11日から7月3日まで実施され、同年7月下旬に特定された。広告はスペインを主要な標的とし、EU圏内で少なくとも570,950件のアカウントに対して1回以上表示されたと推計されている。広告はFacebookやInstagram上に掲載された可能性が高いとみられている。また、誘導先ページのコードからはTikTok経由のアクセスを識別する記述も見つかっているが、TikTok上での出稿記録やリーチ数は確認されていない。

ThreatFabricは特定の攻撃グループへの帰属は行っていないものの、Androidマルウェアの開発に精通した人物による高度な脅威であると指摘している。なお、特定のAndroidバージョンに依存する脆弱性ではなく、一連の権限許可フローに依存して動作する。

公表された主な脅威指標（IoC）は以下の通りである。

• 偽装アプリ名: 「StrεαmTV Pro」「Sistema de vídeo」
• パッケージ名: io.base.one887、io.meat.hint
• 検体のSHA-256ハッシュ値:
  • e0714788b4e2518b0d9d4cbf18c7217bb97718e01689d77338f1cc4a230fcb6c
  • ba83cc3c9535690191018edf73ca5c6001609df9919462796aa2e551f142e4d3
• C2サーバーIPアドレス: 45.147.28[.]59、193.32.2[.]245

ThreatFabricは、動画配信アプリがサービス本来の目的とは無関係なシステム権限を要求してきた場合、ユーザーは直ちにインストール作業を中止すべきであると注意を促している。