News Category

AI（人工知能）
量子コンピューター
 スペーステクノロジー
 サイバーセキュリティ
 VR/AR
テクノロジーとエンタメ
 チャットボット
 ブロックチェーン
 半導体
 バイオテクノロジー
 ニューロテクノロジー
 ロボティクス
 ヘルスケア
 テクノロジーと社会
 サステナブル

【比較分析】TriadaとShibaiマルウェア：スマホに潜むクリプトクリッパーの進化

2025年4月22日9:23

サイバーセキュリティニュース

A split image comparing two distinct Android malware concepts: Left side depicts 'Triada' as shadowy, root-like tendrils subtly infiltrating a smartphone's core system from within, glowing faintly green, suggesting older, deep system compromise. Right side depicts 'Shibai' as a broken digital chain link on a circuit board background, with cryptocurrency symbols (Bitcoin, Ethereum) glitching and draining away through the break, glowing red, symbolizing a supply chain break and cryptoclipper theft. Overall style: Cyberpunk, technical schematic overlay, dark blue and contrasting red/green glows, sense of hidden digital threat, cinematic lighting --ar 16:9 --style raw - innovaTopia - （イノベトピア）

Last Updated on 2025-04-22 11:11 by admin

2025年4月28日の記事で詳しく解説した、Doctor Webによって報告された低価格Android端末にプリインストールされた暗号資産窃取マルウェアについて大きな反響をいただきました。

中国製Android端末に暗号資産盗むマルウェア – プリインストールされたWhatsApp偽アプリが仮想通貨ウォレットを標的に

このShibaiの事例は、デバイス製造段階でマルウェアが仕込まれるサプライチェーン攻撃の深刻さを示す最新の一例です。しかし、同様の手法を用いる脅威はこれが初めてではありません。ここでは、過去に大きな被害をもたらし、現在も活動が確認されている代表的なマルウェア「Triada」を取り上げ、今回のShibaiと比較分析することで、サプライチェーン攻撃の脅威と進化についてさらに詳しく見ていきましょう。

1.発見と初期段階 (2016年)

Triadaは、2016年3月にKaspersky Labによって初めて特定されました。当初は、主に古いAndroidバージョン（4.4.4以前）の脆弱性を悪用して昇格された権限を取得する「ルーティングトロイの木馬」として機能していました。

2. Triada：進化するAndroidトロイの木馬の首謀者

2.1 発見と初期段階 (2016年)

Triadaは、2016年3月にKaspersky Labによって初めて特定されました。当初は、主に古いAndroidバージョン（4.4.4以前）の脆弱性を悪用して昇格された権限を取得する「ルーティングトロイの木馬」として機能していました。

感染経路としては、信頼できないソースからのアプリダウンロードや、Google Playストア上で正規アプリを装ったもの、既存の人気アプリのアップデートを介したもの、時にはデバイスにプリインストールされている場合もありました。また、Ztorg、Gorpo、Leechといったより小型のトロイの木馬を介して配布されることもありました。初期の主な目的は、スパムアプリやアドウェアをインストールし、広告ボットネットを形成して広告収入やSMS詐欺を通じて収益を得ることでした。

2.2 技術的洗練性と進化

Triadaはその高度な技術によって注目されました。

モジュール性: Triadaはモジュール型のトロイの木馬として設計されており、コンポーネントをダウンロードして更新できるため、柔軟性とステルス性が向上していました。モジュールはメモリにロードされた後、ストレージから削除されることが多く、検出をさらに困難にしていました。
Zygoteインジェクション: 中核的なAndroidプロセスである「Zygote」を改変するという、特に高度な技術が用いられました。Zygoteは全てのアプリプロセスの親であり、ここにコードを注入することで、Triadaはデバイス上で起動される全てのアプリケーションの一部となり、システムの深層アクセス権を獲得し、検出を極めて困難にしました。これにより、SMSメッセージの傍受など、アプリの動作を変更することが可能になりました。
ステルス性: 高度なステルス機能を備え、主にRAM内に存在し、システム機能を置き換え、実行中のプロセスリストから自身のモジュールを隠蔽しました。動的コードローディングのような技術も使用されました。一部の亜種では、DroidPluginのようなサンドボックス技術を利用して、インストールせずに悪意のあるプラグインをロードしていました。
持続性: ルート権限の取得やシステムプロセス/イメージの改変により、ファームウェアの再フラッシュや複雑な手動介入なしには削除が非常に困難、時には不可能になりました。工場出荷時リセットも効果がないことが多かったです。

2.3 サプライチェーン侵害とBADBOXへの移行

新しいAndroidバージョンでルート化が困難になるにつれて、Triadaは適応を余儀なくされました。2017年から2019年にかけてGoogleによって指摘されたように、Triadaはプリインストールされるバックドアへと進化しました。これはしばしば、主要なOEM（相手先ブランド供給）の知らないうちに、製造プロセスやファームウェアのカスタマイズ中にサードパーティベンダーによってシステムイメージに注入されました。

この進化により、TriadaはHUMAN Security、Google、Trend Microなどが調査した大規模な詐欺オペレーション「BADBOX」の中核コンポーネントとなりました。BADBOXは、Triadaベースのバックドアがプリインストールされた低価格の非ブランドAndroidデバイス（スマートフォン、タブレット、CTVボックス、プロジェクターなど）を販売するものでした。これらのデバイスは中国で製造され、世界中に出荷されました。BADBOXはこれらの侵害されたデバイスを利用して、プログラマティック広告詐欺（PEACHPITボットネット）、クリック詐欺、居住プロキシネットワークの構築（アカウント乗っ取り、偽アカウント作成、DDoS攻撃、マルウェア配布、OTP窃取などに利用）、偽アカウント（Gmail、WhatsApp）の作成など、様々な種類の詐欺行為を行いました。

2.4 最新の能力（RATおよび金融窃盗）

Triadaはリモートアクセス型トロイの木馬（RAT）としても分類されます。その能力は広告やSMS詐欺を超えて拡大し、以下のような機能を含むようになりました：

メッセンジャー/ソーシャルメディアアカウント（Telegram、TikTok）の窃取
ユーザーになりすましてWhatsAppやTelegramメッセージを密かに送信し、痕跡を削除
クリップボードハイジャック（暗号通貨ウォレットアドレスの置換 – クリッパー機能）
Webブラウザアクティビティの監視とリンク置換
通話中の電話番号置換
SMSメッセージの傍受（二要素認証バイパスやプレミアムSMS登録のため）
他のマルウェアのダウンロード
ネットワーク接続のブロック（不正防止システムの妨害）

2025年の最近のキャンペーンでは、偽造スマートフォンにプリインストールされた形で活動が継続しており、約9ヶ月間で27万ドル相当の暗号通貨が送金されるなど、大きな金銭的利益を上げています。改変されたWhatsAppバージョン（FMWhatsApp、YoWhatsApp）を介した配布も確認されています。また、Dwphonのような他のマルウェアとバンドルされていることも発見されています。

2.5 影響と悪名

Triadaは、その洗練性、持続性、進化能力から、最も複雑で危険なAndroid脅威の1つと見なされています。その複雑さはWindowsベースのマルウェアに匹敵するとも言われています。サプライチェーン侵害を含む多様な配布方法により、潜在的に数百万台のデバイスに影響を与える広範なインパクトを持ち、大きな金銭的動機とその成功が示されています。

Triadaが脆弱性を悪用するルーティングトロイの木馬から、コアOSプロセス（Zygote）を改変するサプライチェーン経由で埋め込まれるバックドアへと進化したことは、セキュリティ強化に適応し、複雑なシステムレベルのエクスプロイトを活用できる高度な脅威アクターグループの存在を示唆しています。これは単なる機会主義的なマルウェアではなく、計画的で持続的な開発を反映しています。初期のルート化依存はOSパッチによって制限され、Zygoteインジェクションはより深いアクセスを提供しましたが、依然として初期の特権アクセスが必要でした。最終的なサプライチェーン経由のプリインストールへの進化は、ユーザーデバイスを直接攻略する必要性を回避し、潜在的に侵害されたサードパーティベンダーが提供するベースシステムイメージにマルウェアを埋め込むことでOSパッチの制限を克服します。この進展は、攻撃者の技術スキル、リソース投資、そして特にハードウェアサプライチェーンにおけるAndroidエコシステムの弱点に対する戦略的理解の向上を示しています。

さらに、TriadaとBADBOXオペレーションの緊密な統合は、マルウェアが単なるエンドポイントの脅威ではなく、より大規模で多面的な犯罪事業（詐欺、プロキシサービスなど）の実現要因として機能する傾向を浮き彫りにしています。Triadaは多数のデバイスへの初期アクセスと制御メカニズム（バックドア）を提供し、BADBOXオペレーションはこのアクセスを利用して様々な収益化スキーム（広告、プロキシ、偽アカウント）のための「モジュール」を展開します。これは、マルウェア（Triada）が多様な違法ビジネス（BADBOX）を構築・運営するための基盤ツールとして使用される階層化された犯罪インフラを示しており、運営者にとって回復力と収益性を高めていると考えられます。

3. Shibai：偽装された標的型クリプトクリッパー

3.1 出現と発見 (2024年～2025年)

Shibaiは、2025年4月にDoctor Webによって報告され、その活動は少なくとも2024年6月まで遡ります。特に、有名ブランド（Samsung、Huaweiなど）のデザインを模倣しつつ、あまり知られていないブランド名（例：SHOWJI）で販売される低価格帯のAndroidスマートフォンにプリインストールされているのが発見されました。

配布経路はサプライチェーン侵害であり、デバイスがユーザーに届く前にファームウェアやプリインストールアプリに埋め込まれています。

3.2 技術分析：LSPatchとクリッピング

マルウェアタイプ: 主に暗号通貨クリッパーマルウェアです。クリッパー機能とは、クリップボードを監視し、コピーされた暗号通貨ウォレットアドレスを攻撃者が管理するアドレスに置き換えるものです。特定のパターン（例：Ethereum、Tronアドレス）を標的とします。
注入メカニズム:LSPatchフレームワークを使用して、正規のアプリケーション（WhatsApp、Telegram、QRスキャナーなど、約40種のアプリが確認済み）に悪意のあるコードを注入します。
- LSPatchは、LSPosedから派生したツールで、ルート化されていないデバイスでもアプリの動作を変更できるように設計されています。これにより、Shibaiの悪意のあるモジュール（com.whatsHookなど）を標的アプリに注入できます。これは、サプライチェーン攻撃のシナリオにおいて、ファームウェア構築プロセス中に行われる可能性が高いです。
ステルス置換: 巧妙に設計されており、送信者はチャットインターフェース上で自分の正しいウォレットアドレスを見ますが、実際に送信されるメッセージには攻撃者のアドレスが含まれています。

3.3 クリッピング以外の悪意のある能力

データ窃取: デバイス情報（モデル、OSバージョン、SIM詳細など）、WhatsAppの全てのメッセージ、および一般的なフォルダ（DCIM、Pictures、Downloads、Screenshotsなど）にある画像ファイル（.jpg、.png、.jpeg）を収集します。
シードフレーズ探索: 画像ファイルの窃取は、保存されているウォレットのリカバリーフレーズ（シードフレーズ）を見つけることを目的としている可能性が高いです。これにより、攻撃者はウォレットへの完全なアクセス権を得て、資金を抜き取ることが可能になります。
アップデートハイジャック: アプリのアップデートプロセスを乗っ取り、攻撃者が管理するC2サーバーから悪意のあるAPKファイルを取得する可能性があります。
仕様偽装: 影響を受けるデバイスでは、別のアプリを使用してハードウェア仕様やAndroidバージョン（実際は古いのにAndroid 14と表示するなど）を偽装し、ユーザーやAIDA64/CPU-Zのような情報ユーティリティを欺くことがよくありました。

3.4 インフラストラクチャと影響

Shibaiは大規模なインフラを利用しています。配布用に約30のドメイン、管理用に60以上のC2サーバーが確認されています。この攻撃は非常に収益性が高く、攻撃者のウォレット分析によると、過去2年間で160万ドル以上を受け取っており、サプライチェーン侵害とクリッピング技術の有効性を示しています。「Shibai」という名前自体が暗号通貨に関連している可能性も指摘されています。システムにプリインストールされているため、一般ユーザーによる削除は困難または不可能です。

Shibaiは、クリッピングとシードフレーズ探索による暗号通貨窃取という、特定の収益性の高い犯罪に最適化された、非常に焦点を絞ったサプライチェーン攻撃を表しています。Triada/BADBOXの広範な能力とは異なり、Shibaiの設計は、暗号通貨を通じた直接的な金銭的利益を優先する専門的な攻撃者グループを示唆しています。Shibaiの中核機能は暗号通貨クリッピングであり、追加機能（メッセージ/画像窃取）はシードフレーズ探索によってこの目標を直接サポートします。LSPatchの使用は、暗号通貨アドレスを扱う可能性が高い複数の一般的なアプリ（メッセンジャー、QRスキャナー）にこの特定の悪意のある機能を注入する効率的な方法を提供します。報告されている高額な収益（160万ドル以上）は、この焦点を絞ったアプローチの成功を裏付けています。これは、Triadaのより広範で進化する能力（RAT、SMS詐欺、広告詐欺、一般的なデータ窃取）とは対照的です。

サプライチェーン攻撃内でのLSPatchの使用は、カスタマイズや開発を目的としたオープンソースツールでさえ、製造プロセスへのアクセスと組み合わせることで、大規模なマルウェア展開のためにいかに容易に武器化され得るかを浮き彫りにしています。LSPatchはアプリを改変するためのオープンソースツールであり、Shibai攻撃者はこれを利用してクリッパー/スパイウェアコードを正規アプリに注入します。この注入は、ユーザーがデバイスを入手する前に、サプライチェーン侵害の一部として行われます。これは、攻撃者が常に完全に新しい注入フレームワークを開発する必要はなく、適切な段階（製造/ファームウェア準備）で特権アクセスを取得できれば、既存のツールを効果的に再利用できることを示しています。これにより、サプライチェーンへのアクセスが達成されれば、高度なプリインストールマルウェアを作成するための参入障壁が低下します。

4. 比較：Triada vs. Shibai

4.1 比較表

TriadaとShibaiの主な特徴を比較するために、以下の表にまとめます。

特徴	Triada	Shibai	関連情報源 (例)
初確認	2016年	2024年 (報告は2025年)
タイプ	モジュール型トロイの木馬, RAT, ルーティングトロイの木馬(初期), バックドア, アドウェア/スパムインストーラ(初期), クリッパー(後期)	クリッパー, スパイウェア
主な目的	進化: SMS詐欺 → 広告詐欺 → RAT/データ窃取 → 多角的詐欺 (BADBOX) → 暗号通貨窃取	暗号通貨窃取 (クリッピング, シードフレーズ探索)
標的プラットフォーム	Android (初期は旧バージョン, 後にプリインストールで全般)	Android (特に低価格/偽造デバイス)
主な感染経路	進化: 不正アプリ(Playストア含む) → 小型トロイの木馬 → サプライチェーン/プリインストール(ファームウェア)	サプライチェーン/プリインストール(ファームウェア)
主要メカニズム	ルート化(初期), Zygoteインジェクション, モジュール性, RAM常駐, システム関数フック	LSPatchによる正規アプリへの注入, クリップボード監視, データ窃取
複雑性	非常に高い, 洗練されている, 適応性がある	中～高 (機能は限定的だが既存フレームワークを活用)
持続性	非常に高い (システムレベル, リセット後も残存)	非常に高い (システムレベル, プリインストール)
関連オペレーション	BADBOX / PEACHPIT	単独 (現時点での報告)
報告された利益	莫大 (例: $270k/9ヶ月 ; BADBOX全体ではさらに多い可能性)	高い (>$1.6M/2年 )

4.2 類似点の分析

標的: 両者とも基本的にAndroidエコシステムを標的としています。
感染経路: 両者とも、最も影響力の大きい形態において、サプライチェーン侵害/プリインストールに大きく依存しており、ユーザーの操作やアプリストアのチェックを回避しています。
動機: 両者とも金銭的な動機があり、直接的（暗号通貨クリッピング、SMS詐欺）または間接的（広告詐欺、再販/他犯罪目的のデータ窃取）に資金を盗むことを目的としています。
持続性: 両者ともシステム/ファームウェアへの統合により高度な持続性を実現しており、エンドユーザーによる削除を困難にしています。

4.3 相違点の分析

活動期間と進化: Triadaははるかに古く（2016年対2024年）、時間とともに戦術と目標において著しい進化を示してきました。Shibaiはより最近出現し、当初から焦点を絞った目的を持っています。
複雑性と範囲: Triadaは一般的に、より複雑で多機能（モジュール型RAT、Zygote改変、広範なBADBOXオペレーションとの連携）であると説明されています。Shibaiは、サプライチェーン経路とクリッピングは洗練されていますが、機能範囲はより狭く、具体的です（LSPatch注入による暗号通貨窃取）。
コア技術: Triadaの特徴的な技術は、広範なシステム侵害のためのZygote改変でした。Shibaiは、特定のアプリへの標的型注入のためにLSPatchに依存しています。
標的デバイス: 両者とも様々なデバイスに影響を与える可能性がありますが、Shibaiの報告では特に有名ブランドを模倣した低価格帯/偽造モデルを標的としていることが言及されています。一方、Triada/BADBOXはCTVボックスやタブレットを含む様々な非ブランドデバイスに影響を与えました。

コア技術の違い（Zygote対LSPatch注入）は、サプライチェーン攻撃の制約内で持続性と機能性を達成するための異なるアプローチを反映しています。Zygote改変は、Androidのコアプロセスに対する深い理解と操作を必要とし、全てのアプリに対する広範な制御を可能にします。一方、LSPatchはフレームワークを利用して特定のターゲットアプリケーションにフックし、これはShibaiの焦点を絞った目標（メッセンジャー内の暗号通貨アドレス傍受）には十分です。攻撃者がビルド環境を制御するサプライチェーンシナリオでは、特定のAPKをファームウェアに含める前にLSPatchを使用して変更する方が、Zygote改変を実行するよりも複雑でない統合タスクである可能性があります。それでも、Shibaiのような標的型攻撃には望ましい結果を達成できます。これは、攻撃者が必要な制御の広さと、サプライチェーン侵害の文脈における実装の複雑さ/容易さとの間のトレードオフに基づいて技術を選択することを示唆しています。

5. サプライチェーン侵害という蔓延する脅威

Triada（特にBADBOX経由）とShibaiの両方が、ハードウェア/ソフトウェアサプライチェーンの脆弱性によってもたらされる深刻な脅威を例示しています。

侵害は、サードパーティベンダーによる悪意のあるコードの注入、製造中、またはファームウェアのカスタマイズ中に発生する可能性があり、しばしば規制の緩い低コストデバイスの生産ラインを標的とします。Trend Microによって特定されたLemon Groupは、プリインストールされたデバイスとTriadaオペレーターに関連しています。

この種の攻撃は、以下のような深刻な課題をもたらします。

検出困難: 侵害がデバイス入手前に発生するため、ユーザーや標準的なセキュリティツールによる検出が困難です。
除去不能: マルウェアが保護されたシステムパーティション（ROM）やファームウェアに存在するため、ユーザーによる除去はしばしば不可能です。再フラッシュが唯一の解決策であることが多いですが、これは一般ユーザーの能力を超えています。
帰属と責任: 複雑なグローバルサプライチェーンのどこで侵害が発生したかを正確に特定することは困難です。
信頼の侵食: ハードウェアベンダーやデバイスエコシステムに対する消費者の信頼を損ないます。

モバイルデバイスを標的とするサプライチェーン攻撃は、グローバリゼーションと断片化された製造プロセスの戦略的な悪用を表しています。現代の電子機器は、多くの部品サプライヤー、ソフトウェア開発者（しばしばサードパーティ）、製造業者、流通業者を、異なる国々にまたがって巻き込んでいます。特に低価格デバイス市場におけるコスト圧力は、サードパーティのコードやプロセスに対するセキュリティ審査の削減につながる可能性があります。この断片化は、エンドツーエンドのセキュリティ監査を極めて困難にします。攻撃者はこれらのギャップ（例えば、顔認証のような特定の機能を提供するサードパーティベンダーを侵害するなど）を悪用して、TriadaやShibaiのようなマルウェアを注入します。そして、グローバルな流通ネットワークが、これらの侵害されたデバイスを効率的に世界中に拡散させます。これにより、グローバルコマースの効率性が、効率的なマルウェア配布ネットワークへと転換されてしまうのです。

6. 緩和策と防御戦略：埋め込まれた脅威からの保護

埋め込まれた脅威に対抗するには、ユーザー、製造業者、プラットフォームプロバイダー、セキュリティコミュニティを含む多層的なアプローチが必要です。

6.1 ユーザーレベルでの推奨事項

信頼できる購入元: 信頼できる正規のベンダーや製造元からデバイスを購入してください。特にオンラインマーケットプレイスでの、疑わしいほど低価格なデバイスや非ブランドデバイスには注意が必要です。
セキュリティソフトウェア: 信頼できるモバイルセキュリティソリューションをインストールし、最新の状態に保ってください。ただし、プリインストールされたファームウェアマルウェアの検出は困難な場合があります。
アップデート: Android OSと全てのアプリケーションを最新の状態に保ってください。パッチによって、一部のマルウェアコンポーネントや後からダウンロードされるモジュールが悪用する脆弱性が修正される可能性があります。しかし、ファームウェアレベルの感染はアップデートでは除去できない場合があります。
権限の確認: アプリの権限、特にアクセシビリティサービスのような高リスクな権限（マルウェアによってしばしば悪用される）を注意深く確認してください。過剰な権限を与えないでください。
不審な動作の監視: デバイスの異常な動作（バッテリーの異常消費、予期しないネットワークトラフィック、奇妙なポップアップなど）を監視してください。ただし、Triadaのような高度なマルウェアはステルス性が高く設計されています。
再フラッシュ（上級者向け）: ファームウェアレベルの感染が疑われる場合、最も信頼性の高い除去方法は、クリーンな公式ファームウェアイメージをフラッシュすることです。これは技術的なプロセスであり、全てのユーザーに適しているわけではありません。
非公式ソースの回避: 信頼できないサードパーティストアやソースからアプリをインストールしないでください。非公式または改造されたアプリバージョン（Triada配布で言及されたWhatsApp modなど）は避けてください。

6.2 業界とエコシステムの役割

OEMの責任: 製造業者は、デバイス出荷前およびOTA（Over-The-Air）アップデート時に、サードパーティコードを含むシステムイメージの徹底的なセキュリティレビューを行う必要があります。サプライチェーンの完全性検証が求められます。
Googleの役割: Google Playプロテクトのようなイニシアチブは、ソースに関わらずアプリをスキャンし、Triadaのような進化する脅威を含むPHA（Potentially Harmful Applications）を特定するよう努めています。研究者やOEMと協力して脅威を除去しています。Playプロテクト認証は重要な指標です。
セキュリティリサーチ: セキュリティ企業（Kaspersky、Dr. Web、Google、HUMAN、Trend Microなど）による継続的な分析は、これらの脅威を発見、理解し、報告するために不可欠です。協力と情報共有（例：HUMANとGoogle、Trend Micro、Shadowserverの連携）が鍵となります。
妨害活動: ドイツBSIがBADBOXに対して行ったようなC2インフラのシンクホール化などの措置は、進行中の被害を軽減できますが、マルウェア自体を除去するものではありません。

サプライチェーンマルウェアに対する効果的な緩和策は、ユーザー、製造業者、プラットフォームプロバイダー（Google）、そしてセキュリティコミュニティが関与する多層的なアプローチを必要とします。ユーザーは信頼できるソースを選択し、良好なセキュリティ習慣を実践することでリスクを減らすことができます。しかし、プリインストールされたファームウェアマルウェアを容易に検出または除去することはできません。したがって、予防は上流で行われなければなりません。すなわち、OEMによるサプライチェーンとファームウェアの審査、そしてGoogleによるプラットフォームレベルの保護と認証（Playプロテクト）です。セキュリティコミュニティは、これらの脅威（しばしば深いファームウェア分析が必要）を発見し、妨害活動を調整する上で重要な役割を果たします。これは、サプライチェーンセキュリティがエコシステム全体にわたる共有責任であることを示しています。

7. まとめ：私たちのポケットの中の見えざる戦い

本稿では、Androidマルウェア「Triada」と「Shibai」について詳細な比較分析を行いました。Triadaは、その複雑さ、長期間にわたる進化、多目的性、そして大規模な詐欺オペレーションBADBOXとの関連性によって特徴づけられます。一方、Shibaiは、LSPatchフレームワークを利用した、より焦点を絞った暗号通貨クリッパーとして登場しました。両者に共通するのは、その最も危険な形態において、ハードウェアやソフトウェアのサプライチェーン侵害に依存している点です。

これらの事例は、従来の攻撃対象領域を超えた弱点を悪用する、ますます高度化するモバイル脅威という大きなトレンドの中に位置づけられます。特にプリインストール型マルウェアは、ユーザーの信頼とデバイスのセキュリティに対して深刻な課題を突きつけています。

PEACHPITやBADBOXのC2サーバーのような特定のオペレーションは妨害されるかもしれませんが、根本的な技術（サプライチェーン侵害、Zygote/LSPatch改変）や脅威アクターは依然として存在します。攻撃者は今後も進化と適応を続けると予想されます。

したがって、ユーザーによる警戒、製造業者やプラットフォームプロバイダーによる積極的なセキュリティ対策、そしてサイバーセキュリティコミュニティ内での継続的な研究と協力が、これらの高度で埋め込まれた脅威と戦うために不可欠です。見えざる戦いは、私たちのポケットの中で続いているのです。

【用語解説】

Triada（トリアーダ）:
2016年に発見された高度なAndroidマルウェア。初期はルート化機能で知られ、後にZygoteインジェクションやサプライチェーン攻撃を通じて配布されるバックドアへと進化した。広告詐欺、SMS詐欺、データ窃取、暗号資産窃取など多機能。

Shibai（シバイ）:
2024年頃から活動が確認され、2025年に報告されたAndroidマルウェア。主に低価格帯の偽装スマートフォンにプリインストールされ、LSPatchフレームワークを利用して正規アプリにコードを注入し、暗号資産ウォレットアドレスを置き換えるクリッパー機能やデータ窃取を行う。

サプライチェーン攻撃 (Supply Chain Attack):
製品やソフトウェアが開発・製造され、ユーザーに届くまでの供給網（サプライチェーン）のいずれかの段階で、悪意のあるコードやコンポーネントを混入させる攻撃手法。デバイスやソフトウェアが正規のものとして流通するため、ユーザーが気づきにくい。

クリプトクリッパー (Cryptoclipper):
マルウェアの一種で、ユーザーのデバイスのクリップボード（コピー＆ペースト機能の一時記憶領域）を監視し、コピーされた暗号資産（仮想通貨）のウォレットアドレスを、攻撃者が管理する別のアドレスに自動的に置き換える機能を持つもの。ユーザーが気づかないうちに送金先を不正に変更する。

LSPatch:
ルート化されていないAndroidデバイス上で、アプリケーションの動作を変更したり、任意のコード（パッチ）を注入したりすることを可能にするフレームワーク。元々は開発やカスタマイズ目的のツールだが、Shibaiマルウェアが悪用した。

Zygoteインジェクション (Zygote Injection):
Androidシステムのコアプロセスである「Zygote」プロセスに悪意のあるコードを注入する高度な攻撃手法。Zygoteは全てのアプリプロセスの親であるため、ここにコードを注入されると、デバイス上で起動するほぼ全てのアプリに影響を与え、深いシステムアクセス権を奪取できる。Triadaが使用したことで知られる。

RAT (Remote Access Trojan / リモートアクセス型トロイの木馬):
感染したデバイスに対して、攻撃者が遠隔地から不正にアクセスし、操作（ファイルの窃取、コマンド実行、監視など）を行うことを可能にするマルウェア。

BADBOX:
TriadaマルウェアがプリインストールされたAndroidデバイス（スマートフォン、TVボックスなど）を利用した大規模な不正広告・詐欺オペレーションの名称。HUMAN Security、Google、Trend Microなどによって調査された。

プリインストールマルウェア (Pre-installed Malware):
デバイスが出荷される前、製造段階やファームウェア書き込み時に、あらかじめシステムに埋め込まれているマルウェア。ユーザーがデバイスを初めて起動した時点で既に感染しているため、検出や削除が非常に困難。

C2サーバー (Command and Control Server):
マルウェアが外部の攻撃者と通信し、指示を受け取ったり、盗んだ情報を送信したりするための中継サーバー。攻撃インフラの司令塔の役割を果たす。

リカバリーフレーズ / シードフレーズ (Recovery Phrase / Seed Phrase):
暗号資産ウォレットを復元するために必要な、通常12語または24語の単語の組み合わせ。これが漏洩すると、第三者がウォレット内の資産を完全にコントロールできてしまうため、極めて厳重な管理が必要。