$35 プロジェクター: メーカー支援型マルウェアパイプラインの解明

35ドルで4K対応や8000ルーメンを謳うプロジェクターの魅力は強いですが、あるセキュリティ研究者が発見したように、実際のコストはしばしばファームウェアに隠れています。Pi-hole のログに現れた疑わしい DNS クエリが、消費者向け電子機器を住宅プロキシのグローバルネットワークへと変換する、洗練されたメーカー支援型の作戦へと展開します。

この調査は、IoT サプライチェーンにおける不気味な傾向を浮き彫りにします。単なるアドウェアから、工場レベルでデバイスに組み込まれたフルスケールのリモートアクセストロイアン（RAT）への移行です。

最初の警告サイン

Magcubic HY300 Pro+ プロジェクターを Wi‑Fi に接続した瞬間、アプリを開いたりブラウザを起動したりしていないにもかかわらず、デバイスは o.fecebbbk.xyz や usmyip.kkoip.com といった複数の疑わしいドメインへ「電話をかける」ように通信を開始しました。

adb と jadx を用いた初期調査により、com.htc. 名前空間を使用した一連のプリインストールパッケージが見つかりました。これは Hotack 製造のデバイスを隠すための露骨な偽装です。デバイスを root 化し、com.hotack.silentsdk や com.htc.eventuploadservice などの 5 つの疑わしいパッケージを無効化したところ、悪意ある DNS トラフィックは止まり、これらのアプリが原因であることが確認されました。

Claude Code を使った分析の高速化

難読化された Android APK のリバースエンジニアリングは、リフレクションチェーンの追跡や文字列の手動復号といった骨の折れる作業が従来の常套手段です。これを高速化するため、研究者は Claude Code という、CLI と対話しコードを書き込むことができる AI エージェントを活用しました。

エージェントにデコンパイルされたソースと明確なミッションを提供した結果、AI は以下の重要タスクを自律的に実行しました：

自動復号: マルウェアは回転 XOR 暗号を用いて URL とシェルコマンドを隠蔽していました。Claude Code はパターンを特定し、コードベース内のすべての呼び出しを自動的に復号する Python スクリプトを書きました。
プロトコル再構築: エージェントは C2（コマンド＆コントロール）通信ロジックを追跡し、バージョンフィールド、AES‑128‑CBC 暗号文、ランダム IV、平文で付加された暗号鍵からなるカスタムバイナリメッセージ形式を特定しました。
アクティブ C2 連携: 驚くべきことに、AI はライブ C2 サーバー（api.pixelpioneerss.com）と通信する機能的な Python クライアントを作成しました。これにより、サーバーが研究者の IP アドレスとジオロケーションをリアルタイムで追跡し、次段階のペイロードを配信していることが判明しました。

マルウェアエコシステム: 3段階攻撃

調査により、永続性とモジュラリティを目的とした協調的なマルウェアスイートが明らかになりました。

ステージ1: ドロッパー (`com.hotack.silentsdk`)

このアプリは android.uid.system 権限で実行され、メーカーのプラットフォーム証明書で署名されていることを意味します。高優先度のブートレシーバーを登録し、systemExempted フォアグラウンドサービスとして動作させることで、OS からほぼ殺すことができないブート永続性を確保しています。

ステージ2: フレームワーク (`magic.v6037`)

ドロッパーが C2 と接触すると、DEX ファイルを含む JAR をダウンロードします。このペイロードはリフレクションを介して動的にロードされ、静的解析を回避します。フレームワークはコンポーネントマネージャとして機能し、15〜30分ごとに二次 C2（bur.thedynamicleap.com）へチェックインします。

ステージ3: プラグイン

フレームワークは要求に応じて追加のモジュラプラグインをダウンロード・実行でき、攻撃者はターゲット環境に合わせて機能を柔軟に切り替えることが可能です。

ビジネスモデル: ネットワークの販売

最も衝撃的だったのは、kkoip.com への接続が Kookeey のフロントであることが判明した点です。Kookeey は商用住宅プロキシプロバイダーで、全世界の顧客に数百万の住宅 IP へのアクセスを販売しています。

"My $35 projector wasn't just spying on me. It was selling my network. Anyone who paid Kookeey for proxy access could route their traffic through my IP, making it look like their requests came from a Stanford dorm room."

「私の 35 ドルのプロジェクターは単に私を監視していただけではありませんでした。ネットワークを販売していたのです。Kookeey にプロキシ利用料を支払った誰でも、私の IP を経由してトラフィックを送ることができ、スタンフォードの寮からのリクエストのように見せかけられました。」

このビジネスモデルは、ほぼ原価でハードウェアを販売し、ユーザーの自宅ネットワークを商用プロキシサービスに組み込んで収益化するという捕食的手法です。コミュニティメンバーの指摘通り、単なる帯域販売以上に危険で、"ユニバーサルバイナリ配信システム" を構築し、ローカルネットワーク内でさらなる攻撃を展開できる可能性があります。

ファームウェアレベルの永続性

このマルウェアは単なるアプリインストールではなく、システムイメージに統合されています。ファームウェア解析により以下が判明しました：

Defense Neutralization: 起動時に /system/bin/appsdisable スクリプトが実行され、Google Play Protect やその他の Android ブートレシーバーが無効化されます。
Silent Installation: /system/bin/preinstall スクリプトが複数ディレクトリから APK を無音でインストールします。
Custom Kernel: カーネルは Hotack がエンタープライズ向けハードウェア（Dell PowerEdge R740）上でカスタムコンパイルしており、趣味的なプロジェクトではなく組織的な産業活動であることが証明されています。

結論と対策

この事例は「安価な IoT」サプライチェーンへの警鐘です。市場価格を大幅に下回る価格で販売されたデバイスは、ユーザーが製品そのものになることが多いです。

同様のデバイスを所有している方への推奨対策:

デバイスを隔離: インターネットアクセスを持たない、またはアウトバウンドトラフィックを厳格にブロックした別 VLAN に配置します。
悪意あるパッケージを無効化: ADB を使用して com.hotack.silentsdk と com.htc. 系列のパッケージを無効化します。
工場出荷時リセットを避ける: マルウェアはファームウェアに組み込まれているため、工場出荷時リセットを行っても悪意あるコンポーネントが再インストールされます。

AI エージェントによってリバースエンジニアリングツールがますます手軽になる中で、"セキュリティは隠蔽によって保たれる" というベールは薄れつつあります。しかし、Amazon、Temu、AliExpress を通じて数百万台が販売された規模を見ると、すでに巨大で目に見えないプロキシネットワークが稼働していることが示唆されます。