ファームウェアレベルのマルウェアがプリインストールされている Android デバイス

2026 年 2 月下旬、SophosLabs のアナリストは、Android デバイス上で Keenadu バックドアに関連する複数の悪意のある活動を特定しました。Kaspersky によると、Keenadu は libandroid_runtime.so (共有オブジェクトライブラリ) に埋め込まれたファームウェア感染型マルウェアであり、Zygote プロセスに自身を注入します。Zygote はすべての Android アプリの親プロセスであるため、攻撃者は感染したデバイスを事実上完全制御できるようになります。Keenadu は第 2 段階のマルウェアモジュールのダウンローダーとして機能し、複数のアプリケーション内のデータを標的にします。すべての Android アプリは実行時に libandroid_runtime.so に依存しているため、感染デバイスにインストールされた全アプリのアドレス空間に Keenadu がコピーされることになります。

Keenadu のコードは、感染デバイス上の静的ライブラリ (libVndxUtils.a) 内に存在し、正規の MediaTek コードを装った悪意のある依存関係を悪用します。Kaspersky は Keenadu の展開に関連するアーティファクトに基づき、これが侵害された OTA (Over-the-Air) サーバー経由で後からインストールされたのではなく、サプライチェーン攻撃によって「ビルド段階でファームウェアに組み込まれた」と結論付けました。

このマルウェアが標的にするアプリは、攻撃者がダウンロードするモジュールによって異なります。例として、Shein、Temu、Amazon などのオンラインストアが挙げられます。また、YouTube、Facebook、およびデジタルウェルビーイングアプリはすべて「クリッカー」モジュールの標的となります。このモジュールは、バックグラウンドで密かに Web サイトに接続してクリック報酬型広告 (PPC) の収益を生み出します。別のクリッカーモジュールはシステムランチャー (com.android.launcher3) に埋め込まれており、インストールごとに収益化するよう設計されているようです。また、Google Chrome ブラウザを標的とするモジュールも存在します。

ソフォスが検知した感染デバイスでは、一貫して 2 つのシステムレベルの APK ファイル (PriLauncher.apk、PriLauncher3QuickStep.apk) が関与していました。これらのファイルはシステムレベルのディレクトリ (例：/system/system_ext/priv-app/PriLauncher3QuickStep/PriLauncher3QuickStep.apk) に配置されていました。QuickStep は Android 標準のシステムランチャーであり、Android Open Source Project (AOSP) のコアコンポーネントです。これらの APK ファイルが悪意のあるものとして検知されたことは、特定のデバイス上で Keenadu を実行するために、これらのコンポーネントがトロイの木馬化されたことを示唆しています。なお、Android 向けの Sophos Intercept-X エージェントは、QuickStep の正規バージョンをブロックすることはありません。

3 月 4 日時点で、Sophos X-Intercept のテレメトリによると、約 50 機種の Android デバイス 500 台以上で感染が確認されています。感染したデバイスの大半は低価格モデルで、製造したメーカーはAllview、BLU、Dcode、DOOGEE、Gigaset、Gionee、Lava、Ulefone でした。Kaspersky の報告では Alldocube のデバイスへの影響も観察されていましたが、今回のリストには含まれていません。確認された感染は世界的に広がっており、デバイスの所在地は 40 カ国に及びます。

個人所有のデバイスから企業リソースへのアクセスを許可している組織は、特にリスクが高まっています。データはデバイスから抜き取られますが、攻撃者は感染デバイス上のアプリに保存されている認証情報を悪用して、企業ネットワークにアクセスする可能性があります。

SophosLabs のアナリストは、ナレッジベース記事 KBA-000047016 に記載された手順に従うことを推奨しています。Android ユーザーは、ベンダーから更新されたファームウェアがリリースされた場合、それをインストールする必要があります。ファームウェアが更新されるまでの間、組織は影響を受けるモデルが企業ネットワークにアクセスできないように制限することを検討すべきです。

この脅威に関連するソフォスの保護機能は以下の通りです。

• Andr/Bckdr-SBS

表 1 に示す脅威の指標は、この脅威に関連するアクティビティを検知するために使用できます。なお、IP アドレスは再割り当てされる可能性がありますので、注意してください。また、これらのドメインとIP アドレスには悪意のあるコンテンツが含まれている可能性があるため、ブラウザで開く際はリスクを十分に考慮してください。