2026年第2四半期のモバイルマルウェアレビュー
2026年7月XX日
広告を表示させるトロイの木馬Android.MobiDashおよびAndroid.HiddenAdsの活動は第2四半期にも減少を続けました。しかしながら、これらは今なお多く検出されるマルウェアとなっており、一部の亜種はいまだ検出数上位の座をキープし続けています。/p>
ロジックを難読化する目的でジャンクコードが追加されたアプリ（Tool.Obfuscator.TrashCodeとして検出）が66%以上を占めて前四半期に引き続き最も多く検出されたリスクウェアとなりました。コードの追加に使用されているのはAndroidアプリを改造するためのツールNP Managerです。このツールは、アンチウイルスによる検出を回避する目的でバンキング型トロイの木馬Android.Banker.Mamontなどの悪意のあるアプリにも使用されています。
2番目に多く検出されたリスクウェアも同じくNP Managerツールを使用して改造されたアプリでしたが、ここでは別の機能が使用されています。NP Managerツールにはアプリのコードを難読化して保護するためのモジュールや、改造後にデジタル署名検証をすり抜けるためのさまざまなモジュールが実装されており、マルウェア作成者は悪意のあるアプリがアンチウイルスに検出されないようにする目的でこの機能を悪用しています。Dr.Webアンチウイルス製品はこのような形で改造されたアプリをTool.NPModとして検出します。
Tool.LuckyPatcherユーティリティを使用して改造されたアプリも引き続き多く検出されたリスクウェアとなりました。アプリを改造するために、このツールは特別に作成されたスクリプトをインターネットからダウンロードします。
第2四半期に最も多く検出された望ましくないアプリケーションは、存在しない脅威の検出を通知して感染から「修復」するために製品の完全版を購入するよう促す偽アンチウイルスProgram.FakeAntiVirusとなりました。望ましくないアプリケーション検出数全体の44%以上を占めています。
最も多く検出されたアドウェアはAndroidアプリに組み込まれるモジュールAdware.AdPushでした。Adware.AdPushはユーザーを騙すような広告を含んだ通知を表示させ、さまざまな機密情報を収集します。最適化アプリAdware.Bastion.1.originも多く検出されています。これらのアプリはユーザーを欺いて誘導するような虚偽の通知メッセージ（メモリ不足やシステムエラーに関するものなど）を定期的に表示します。その目的は「最適化」中に広告を表示させることにあります。そのほか、Adware.Opensite.15の活動も依然として活発でした。このAdware.Opensite.15はゲーム内でリソースを入手するためのチートツールに偽装していますが、実際には広告を含んだWebサイトを開くだけのアプリです。
6月、Doctor WebのエキスパートはAndroid OSのセキュリティ制限を回避してバックグラウンドで広告を表示させるAndroid.MagicAd.1について記事を公表しました。Android.MagicAd.1はそのためにサードパーティ製アプリを悪用するほか、感染させたデバイスのメーカーに応じてそれぞれ異なる特定の手法を使用します。このトロイの木馬の詳細についてはこちらのニュースリリースをご覧ください。
Google Playでは第2四半期を通して、ユーザーを有料サービスに登録させる悪意のあるアプリが新たに発見されています。それらの中にはAndroid.SubscriptionおよびAndroid.Jokerファミリーに属するトロイの木馬が含まれていました。
2026年第2四半期の主な動向
- バンキング型トロイの木馬Android.Bankerが引き続き最も多く検出されたAndroidマルウェアとなる
- バンキング型トロイの木馬をアンチウイルスによる検出から保護するために、Androidアプリ改造ツールが引き続き積極的に使用される
- 広告を表示するトロイの木馬Android.MobiDashとAndroid.HiddenAdsの活動が減少を続ける
- サードパーティ製アプリを悪用してAndroid OS の制限を回避し、バックグラウンドで広告を表示させるトロイの木馬Android.MagicAd.1が発見される
- Google Playに新たな悪意のあるアプリが出現
Dr.Web Security Space for mobile devicesによる統計
- Android.Click.1812
- さまざまなWebサイトをバックグラウンドで密かに読み込むことができる、悪意のあるWhatsApp Messenger Mod（改造版）の検出名です。
- Android.HiddenAds.675.origin
- Android.HiddenAds.4236
- 迷惑な広告を表示するよう設計されたトロイの木馬アプリです。このファミリーに属するトロイの木馬は無害でポピュラーなアプリを装って拡散されることが多く、別のマルウェアによってシステムディレクトリ内にインストールされる場合もあります。通常、これらのトロイの木馬はAndroidデバイス上に侵入すると自らの存在をユーザーから隠そうとします（ホーム画面からアイコンを「隠す」など）。
- Android.Banker.Mamont.80.origin
- 金融機関から送信されるワンタイムコードを含んだSMSや通知の内容を傍受し、機密情報を窃取するバンキング型トロイの木馬です。収集される情報には感染したデバイスに関する技術的データ、インストールされているアプリの一覧、SIMカード情報、通話履歴、送受信SMSなどが含まれます。
- Android.FakeApp.1600
- 設定にハードコードされたWebサイトを開くトロイの木馬アプリです。既知の亜種ではオンラインカジノのサイトが開かれます。
- Program.FakeAntiVirus.1
- Program.FakeAntiVirus.4
- Program.FakeAntiVirus.4.origin
- Program.FakeAntiVirus.5
- アンチウイルスソフトウェアを模倣するアドウェアアプリの検出名です。これらのアプリは存在しない脅威について偽の通知をすることでユーザーを騙し、ソフトウェアの完全版を購入するよう要求します。
- Program.FakeMoney.11
- さまざまなタスクを完了することでお金を稼ぐことができるとうたうAndroidアプリケーションの検出名です。このアプリはタスクが完了するたびに報酬が貯まっていくかのように見せかけます。「稼いだ」お金を引き出すために（多くの場合、一般的に広く使用されている支払いシステムや銀行を指定されます）、ユーザーは一定の金額を貯める必要があるとされていますが、たとえその金額が貯まったとしても実際にお金を手にすることはできません。このウイルスレコードは、そのようなアプリのソースコードを基に作成された他の望ましくないソフトウェアの検出にも使用されます。
- Tool.Obfuscator.TrashCode.1
- Tool.Obfuscator.TrashCode.2
- Androidアプリを改造するためのハッカーツールを用いてジャンクコードが追加されたAndroidアプリの検出名です。このような改造はアプリのロジックを難読化する目的で行われ、バンキング型トロイの木馬や海賊版アプリで多く見られます。
- Tool.NPMod.3
- Tool.NPMod.1
- NP Managerユーティリティを使用して改造されたAndroidアプリの検出名です。NP Managerにはアプリのコードを難読化して保護するためのモジュールや、改造後にデジタル署名の検証をバイパスするためのモジュールが実装されています。多くの場合、難読化はマルウェアの検出や解析をより困難にする目的で行われます。
- Tool.LuckyPatcher.2.origin
- Androidデバイスにインストールされたアプリを改変できるようにする（パッチを作成する）ツールです。アプリの動作ロジックを変更したり特定の制限を回避したりする目的で使用されます。たとえば、ユーザーはこのツールを使用することで、バンキングアプリのルートアクセス検証を無効にしたり、ゲーム内で無限のリソースを取得したりできます。パッチを追加するために、このユーティリティは特別に作成されたスクリプトをインターネットからダウンロードしますが、このスクリプトは誰でも作成して共通のデータベースに追加することができます。そのようなスクリプトの機能が悪意のあるものである場合もあることから、このツールを使用して作成されたパッチは潜在的な脅威となる可能性があります。
- Adware.Bastion.1.origin
- 「最適化」中に広告を表示させる目的で、ユーザーを騙して誘導するような虚偽の通知（ストレージ容量不足やシステムエラーに関するものなど）を定期的に出す最適化ツールの検出名です。
- Adware.Opensite.15
- ゲーム内でリソースを入手するためのチートツールを装って拡散されている、実際には広告を表示させるアプリです。リモートサーバーから設定を受け取り、それを使用してバナー広告、ポップアップウィンドウ、動画クリップなどの広告を含んだWebサイトを開きます。
- Adware.AdPush.3.origin
- Androidアプリに組み込まれるアドウェアモジュールです。ユーザーを騙すような紛らわしい、広告を含んだ通知（オペレーティングシステムからの通知に似せたものなど）を表示させます。また、さまざまな機密情報を収集し、別のアプリをダウンロードしてインストールを開始することができます。
- Adware.Fictus.1.origin
- 人気のAndroid アプリやゲームのクローンバージョンに組み込まれるアドウェアモジュールで、その際にnet2shareパッカーが使用されます。この方法で作成されたアプリのコピーはさまざまな配信ストアから拡散され、Androidデバイス上にインストールされると迷惑な広告を表示します。
- Adware.Airpush.7.origin
- Androidアプリに組み込まれ、さまざまな広告を表示するアドウェアモジュールのファミリーです。表示されるものはモジュールのバージョンや亜種によって異なり、広告を含む通知やポップアップウィンドウ、バナーなどがあります。多くの場合、攻撃者はユーザーにさまざまなソフトウェアをインストールするよう促してマルウェアを拡散させる目的で、これらのモジュールを使用しています。さらに、これらモジュールは個人情報を収集してリモートサーバーに送信します。
Google Play上の脅威
2026年第2四半期には、ユーザーを有料サービスに登録させるAndroid.Subscriptionファミリーに属する新たなトロイの木馬アプリが複数、Doctor Webのウイルスアナリストによって発見されました。これらは、オンラインシネマ「ShowLounge - TV & Dramas（Android.Subscription.25）」やゲーマー向けアプリ「AIM: Crosshair Asist（Android.Subscription.26）」、ゲーム「True Cargo Drive（Android.Subscription.27）」、ツール「Battery 3D: Charge Effects（Android.Subscription.28）」、画像編集ソフトウェア「PixStudio - Photo Editor（Android.Subscription.29）」などさまざまなアプリを装って拡散されていました。合計で260万回以上ダウンロードされています。
2026年第2四半期にGoogle Playで検出されたAndroid.Subscriptionトロイの木馬アプリの例
この種の悪意のあるアプリは、Wap Clickテクノロジーを使用して有料モバイルサブスクリプションを有効化するWebサイトを開きます。ユーザーは携帯電話番号を入力するよう促され、従ってしまうと、サブスクリプションの有効化が試みられます。
同じくユーザーを有料サービスに登録させるトロイの木馬Android.Jokerの潜んだアプリも引き続きGoogle Playから拡散されています。これらはメッセンジャー「Chat Messages（Android.Joker.2625）」や「Easy Messages（Android.Joker.2632）」、そしてシステム最適化ツール「Smart File Cleaner（Android.Joker.2614）」、「Junk Clean Master（Android.Joker.2618）」、「Fast Cleaner（Android.Joker.2626）」に偽装していました。
トロイの木馬Android.Jokerが隠されていた悪意のあるアプリの1つ
お使いのAndroidデバイスをマルウェアや望ましくないプログラムから保護するために、Android向け Dr.Webアンチウイルス製品をインストールすることをお勧めします。