Albiriox MaaS マルウェア
新たに出現したAndroidの脅威「Albiriox」は、デバイス上での詐欺行為における最新の進化を象徴しています。Malware-as-a-Service（MaaS）モデルとして宣伝されているこの脅威は、被害者のデバイスを遠隔操作、自動攻撃、そして巧妙に操作するための広範なツールキットを提供します。
目次
詐欺目的で作られた商業化された脅威
Albirioxは、デバイス内不正行為（ODF）、リアルタイムのデバイスインタラクション、シームレスな画面操作をサポートするように設計された、フル機能のMaaSサービスとして販売されています。初期の活動から、運営者は2025年9月下旬に限定的なリクルーティングフェーズを実施し、その後、より広範な商用展開に移行したと考えられます。フォーラムでの議論、使用言語、およびサポートインフラに関連する指標は、ロシア語を話すサイバー犯罪者がこのプロジェクトを主導していることを示唆しています。
開発者らは、Golden Crypt 暗号化サービスと統合され、顧客がウイルス対策ツールやモバイル セキュリティ防御を回避できるようにするカスタム ビルダーも提供している。
幅広いアプリケーション環境をターゲットに
このマルウェアは、400を超える標的アプリケーションの広範なハードコードされたリストを埋め込んでいます。これらのアプリケーションは、銀行、フィンテック、暗号通貨取引所、決済代行会社、デジタルウォレット、オンライン取引プラットフォームなど、幅広い機密性の高いカテゴリを網羅しています。この広範な標的型アプローチは、認証情報の取得、不正取引の開始、そして金融アプリへの秘密裏なアクセス維持というマルウェアの目的と一致しています。
ソーシャルエンジニアリングによる秘密の展開
配布は、ユーザーを騙して偽装ドロッパーをインストールさせる、欺瞞的なルアー（餌）に大きく依存しています。攻撃者は、ソーシャルエンジニアリングのテーマにパッキングや難読化の手法を組み合わせ、静的解析ツールを回避します。オーストリアのユーザーを狙ったあるキャンペーンでは、ドイツ語のSMSメッセージと短縮URLが使用され、「PENNY Angebote & Coupons」などのアプリの偽造Google Playストアページに誘導されました。
偽の「インストール」ボタンを選択した被害者は、気づかないうちにドロッパーAPKをダウンロードしてしまいました。起動後、アプリは定期的なアップデートを開始するふりをして、追加ソフトウェアのインストール許可を求めました。この操作により、Albirioxのメインペイロードが展開されました。
関連するキャンペーンでは、潜在的な被害者をペニーをテーマにした詐欺ウェブサイトに誘導し、WhatsAppのダウンロードリンクを受け取るために電話番号の入力を促しました。入力はオーストリアの番号のみ受け付けられ、入力された情報はすべて運営者が管理するTelegramボットに送信されました。
遠隔操作と秘密作戦
Albiriox がアクティブになると、暗号化されていないTCPソケットを介してコマンドアンドコントロールサーバーとの通信を確立します。これにより、脅威アクターは完全なリモート操作に必要なコマンドをプッシュできるようになります。主な機能は以下のとおりです。
- 追加のリモートアクセスモジュールによってサポートされるVNCベースのデバイス制御
- 機密データのオンデマンド抽出
- 悪意のあるアクティビティを隠すために黒または空白の画面を展開する
- 操作のステルス性を維持するためのリモート音量調整
ある亜種は、Androidのアクセシビリティサービスを利用して、すべてのインターフェース要素をオペレーターに提示します。この手法は、多くの金融アプリでスクリーンショットや画面録画を禁止するAndroidのFLAG_SECURE機能の制限を回避するために特別に設計されています。
不正行為に対するインターフェース保護のバイパス
アクセシビリティ主導のストリーミングメカニズムは、攻撃者にデバイスインターフェースのノードレベルの表現を提供します。従来のディスプレイキャプチャ手法を回避するため、銀行アプリや暗号通貨アプリに搭載されている組み込みの保護機能は作動しません。その結果、攻撃者は機密性の高い画面を永続的かつ無制限に可視化できます。
オーバーレイ攻撃と資格情報収集
他のAndroidバンキング型トロイの木馬と同様に、Albirioxは、ハードコードされた標的アプリケーションのリストに紐付けられたオーバーレイ攻撃を仕掛けます。これらのオーバーレイは、正規のログインパネルやシステムダイアログに見せかけ、効果的な認証情報の窃取を可能にします。さらに、このマルウェアは、偽の更新プロンプトや真っ黒な画面など、誤解を招くような画面を表示することで、不正な操作をバックグラウンドで実行している間、自身の活動を隠蔽します。
完全装備のODFプラットフォーム
Albirioxは、高度なデバイス内不正マルウェアの特徴をすべて備えています。VNCベースのリモート操作、アクセシビリティを重視した自動化ワークフロー、標的型オーバーレイ、そして動的な情報収集技術を組み合わせることで、攻撃者は認証制御を回避し、従来の不正検出メカニズムをすり抜けることができます。被害者の正当なセッション内で直接動作することで、このマルウェアは操作者に非常に高度な制御と、それと同じくらい大きな悪用の機会を与えます。
