TelegramでレンタルされるAndroid銀行詐欺マルウェア「RedWing」が台頭、被害者の通話や画面をリアルタイム制御

要点

• Telegram上で手軽にレンタルできる新しいAndroid銀行詐欺マルウェア「RedWing」の存在が明らかになった。

• 本マルウェアはセキュリティ企業ZimperiumのzLabsにより発見され、レンタル型マルウェア「Oblivion」の新たな亜種とみられている。

• フィッシング経由で公式ストアを模倣した偽ページへ誘導し、Androidのアクセシビリティ機能などの権限を段階的に奪取する。

• 画面のリアルタイム配信、キーロガー、通話転送コード（21）の実行などを用いて、二要素認証の突破や不正送金を行う。

• 標的はロシアの金融機関を中心に82組織が確認されており、感染には脆弱性の悪用ではなくユーザーの手動インストールが必要となる。

• セキュリティ企業Zimperiumの調査部門であるzLabsは、2026年7月7日、Android端末を標的とした新たな銀行詐欺マルウェア「RedWing（レッドウィング）」の活動を公表した。このマルウェアはTelegram上で「MaaS（マルウェア・アズ・ア・サービス：専門的な知識がなくてもサイバー攻撃を行えるよう、ツール一式を有償で提供するサービス）」としてレンタルされており、高度な技術を持たない犯罪者であっても、被害者のスマートフォンを乗っ取って情報窃取や口座への不正アクセスを行えるという。

専門知識不要のレンタル型マルウェア

zLabsの報告によると、RedWingは今年初めに確認された月額300ドルのレンタル型マルウェア「Oblivion（オブリビオン）」の新たな亜種とみられる。
RedWingは、紹介割引や導入ガイド、操作解説ビデオなどがセットになったサブスクリプションパッケージとして販売され、購入者はプログラミング技術を必要としない。Telegramのボットが購入者の要求に応じてカスタムアプリをオンデマンドで生成する仕組みであり、生成されるプログラムの多くは、現時点で従来のセキュリティツールによる検出を回避する能力を備えているという。

巧妙な偽ストアと段階的な権限要求

感染の初期段階では、フィッシングリンクを介して偽のアプリストアページにユーザーを誘導する。このツールはGoogle PlayやGalaxy Store、AppGalleryなどの正規ストアを模倣し、偽のレビューやダウンロード数で騙して公式ストア外からアプリをインストールさせる。

アプリの起動後は、画面の背景に無害なウェブページを表示しながら、ポップアップで段階的に権限を要求する。バッテリー制限の解除やSMSハンドラーの設定などの日常的な要求から始まり、最終的にAndroidの「アクセシビリティ（ユーザー補助：操作を支援するための機能）」を有効化させて、画面の読み取りや遠隔操作を実行する。

多彩な遠隔操作と不正送金機能

必要な権限を掌握したRedWingは、端末に対して極めて広範な制御権を獲得し、以下の機能を実行する。

• 偽画面（オーバーレイ）の表示：正規の金融アプリの上に偽のログイン画面を重ねて表示し、パスワードを盗み取る。
• 認証コードの窃取：SMSで受信したパスコードを読み取るほか、アクセシビリティ機能で画面上のカード番号やPINコード（暗号番号）を直接取得する。
• 密かな通話転送設定：隠しキャリアコード（*21*）を用いて着信を攻撃者へ転送する。これにより、銀行からの確認電話や音声による二要素認証を無効化する。
• 画面配信とキーロガー：スマートフォンの画面をリアルタイムで配信し、キー入力履歴を記録することで、攻撃者が端末を直接遠隔操作できるようにする。
• 情報窃取とDDoS攻撃：カメラやマイクの起動、ファイルや連絡先の窃取のほか、感染端末を連携させて標的サイトに大量のトラフィックを送るDDoS（分散型サービス拒否）攻撃を行う。

標的設定とロシア市場との関連

RedWingは、アクセシビリティ機能で監視するアプリについてはアプリ自体に組み込んでビルドする一方で、偽画面を重ねるオーバーレイの標的については、配布後もコントロールパネルから動的に変更できる構造になっている。

zLabsは、様々な分野にわたる82の金融機関などが標的になっていることを確認した。これらは特にロシアの金融機関にフォーカスしており、解析されたサンプルの中にはロシアの公式ストア「RuStore（ルストア）」の偽ページを悪用するものもあった。専門家はロシアの脅威アクターによる関与を疑っているが、現時点で確定的な証拠は示されていない。

「オンデバイス詐欺」のトレンド

RedWingの特徴は、Android不正アクセスの最新トレンドである「オンデバイス詐欺（ODF：On-Device Fraud：盗んだ情報を使って別の場所からアクセスするのではなく、被害者の端末そのものの内部で直接送金などの不正操作を行う手法）」に合致している点である。
同様のロシア市場向けレンタルツールには、昨年確認された「Fantasy Hub（ファンタジー・ハブ）」があるほか、400以上の金融アプリを狙う「Albiriox（アルビリオクス）」や、睡眠中に口座から送金を行う「Klopatra（クレオパトラ）」などでも類似の技術が使用されている。

なお、RedWingは動作のためにAndroid OSの脆弱性（エクスプロイト：OSなどのセキュリティ上の欠陥を突いて不正な動作を行わせるプログラム）を悪用する必要がない。ユーザーが公式ストア外から手動でアプリをインストールし、権限を承認した場合にのみ動作する仕組みとなっている。