2025年4月、セキュリティ企業Doctor Webの調査により、中国製の一部Androidスマートフォンに、ユーザーの暗号資産を窃取するマルウェアが初期状態から仕込まれていたことが判明しました。このマルウェアはWhatsAppやTelegramを装った偽アプリとして端末にプリインストールされ、ユーザーの仮想通貨ウォレットを標的にした巧妙な攻撃を行っています。
攻撃手口：ウォレットアドレスの“すり替え”
問題のマルウェアは、「クリッピング」と呼ばれる技術を用いて、ユーザーがコピーした暗号資産ウォレットアドレスを監視し、送金時に攻撃者のウォレットアドレスへと密かにすり替えるという極めて悪質な手口を取っています。ユーザーには本来の送金先が表示されているように見えるため、異変に気付かず送金を完了してしまうのが特徴です。
さらにこのマルウェアは、ウォレット情報だけでなく、WhatsAppメッセージ、画像ファイル、PDFなどのドキュメント、端末情報といった幅広いデータも窃取する機能を備えています。
特に画像内の「リカバリーフレーズ（ニーモニック）」を抽出しようとする仕組みは、暗号資産のセキュリティを根底から揺るがすもので、専門家の間でも警戒が強まっています。
SHOWJIブランドを中心に偽装端末が流通
被害が報告されている端末は、「Samsung Galaxy S23 Ultra」や「Huawei P70 Ultra」など、実在する人気スマートフォンを模倣したモデルで、外見上は正規品に酷似しています。特に「SHOWJI」というブランドの端末で複数の被害が確認されており、OSバージョンやスペック情報も偽装されている点が問題視されています。
実際にはAndroid 12で動作しているにもかかわらず、Android 14と表示されるなど、システム情報そのものが改ざんされており、購入者が正規品と誤認する原因となっています。
改変にはLSPatchが悪用されていた
Doctor Webによると、マルウェアの実行には「LSPatch」と呼ばれるオープンソースツールが悪用されており、約40種類のアプリに不正コードが注入されていることが明らかになりました。この改変によって、ユーザーがインストールを拒否しても回避できない状態で、プリインストール済みアプリに深く組み込まれていたのです。
攻撃者のインフラと収益規模
攻撃者は30以上のドメインを通じて不正アプリを配布し、60以上のC2（コマンド＆コントロール）サーバーでマルウェアの遠隔制御を行っていたとされています。調査の結果、攻撃者が使用していたウォレットの一つには約50万ドル（約7,500万円）相当の暗号資産が確認されており、全体では160万ドル（約2億4000万円）を超える被害が発生している可能性があります。
サプライチェーン攻撃の新たな形
今回の攻撃の最も深刻な点は、サプライチェーン攻撃としての性質です。端末の製造段階でマルウェアが組み込まれていたため、ユーザーは端末を手にした時点で既に感染している状態となっていました。これは従来のように、不正アプリをダウンロードした際に感染するタイプとは異なり、防御が極めて困難なケースといえます。
この攻撃は2024年6月頃から始まっていたとされ、約10か月以上にわたって広範囲にわたる感染が続いていたことも判明しています。
ユーザーが取るべき対策
被害を防ぐには、以下の点に注意が必要です。
まとめ
中国製の一部Android端末に仕込まれたマルウェアが、ユーザーの暗号資産を狙っているという深刻な問題が明らかになりました。表面上は正規品を装い、しかも出荷段階で既にマルウェアが仕込まれていることから、購入者が自身で感染を防ぐことは非常に困難です。
今後は、端末の出所や販売ルートに対する監視強化、企業のモバイル端末管理ポリシーの見直しも急務といえるでしょう。
コメント