RatHat: Malware pro Android, který ovládá telefon pomocí umělé inteligence

Průvodci Androidem » obecně » RatHat: Malware pro Android, který ovládá telefon pomocí umělé inteligence

Nový malware pro Android posouvá vzdálené ovládání zařízení na ještě sofistikovanější úroveň. RatHat obsahuje systém založený na umělé inteligenci, který je schopen interpretovat rozhraní infikovaného mobilního zařízení a rozhodovat se, jak s ním interagovat. Útočníci tak mohou automatizovat akce, které se dříve více spoléhaly na předdefinované instrukce.

Objev učinili výzkumníci ze Zimperium zLabs, kteří analyzovali možnosti této hrozby. RatHat údajně oslovuje uživatele prostřednictvím škodlivých reklamních kampaní, SMS zpráv a phishingových webových stránek, které nabízejí soubory APK mimo Obchod Google Play. Po instalaci se malware pokouší získat oprávnění přístupu k systému Android, která používá k provádění akcí s vysokou úrovní kontroly nad zařízením. Aktivuje také možnosti pro vývojáře a bezdrátové ladění, aby získal přístup k lokální konzoli s oprávněními ADB, aniž by bylo nutné telefon fyzicky připojovat k počítači.

Co je RatHat a jak se distribuuje?

RatHat je bankovní trojský kůň, kterého identifikovali specialisté na mobilní bezpečnost Gianluca Braga, Vishnu Pratapagiri a Fernando Ortega. Výzkumníci jej spojují s aktéry hackerského útoku se sídlem v Číně, ačkoli to samo o sobě nepotvrzuje původ odpovědných osob. Jeho distribuce se opírá o smishingové kampaně a škodlivou reklamu , která přesměrovává oběti na podvodné stránky pro stahování, někdy se vydávají za populární aplikace, jako je Google Chrome.

Instalační balíček funguje jako „dropper“, který spouští hlavní škodlivý obsah. Jakmile je aplikace uvnitř systému, požaduje oprávnění přístupnosti, což je legitimní mechanismus Androidu určený pro pomoc lidem s postižením, který se však v rukou této hrozby stává branou k citlivým funkcím.

Jak funguje umělá inteligence RatHatu

Hlavní inovací RatHatu spočívá v jeho automatizačním systému založeném na umělé inteligenci. Místo spoléhání se na naprogramované instrukce pro konkrétní rozhraní malware shromažďuje vizuální strukturu Androidu a transformuje ji do XML dokumentu. Tento XML je poté odeslán generativnímu asistentovi s umělou inteligencí , který identifikuje prvky obrazovky, určuje jejich polohu, interpretuje viditelný text a vrací instrukce pro navigaci v menu. To mu umožňuje přizpůsobit se změnám v designu aplikace bez nutnosti přeprogramování.

Zimperium vysvětluje, že „RatHat využívá umělou inteligenci k inteligentní navigaci a ovládání rozhraní zařízení v reálném čase.“ Tato schopnost činí jeho provoz flexibilnějším a hůře odhalitelným než tradiční automatizace založené na pevných skriptech.

Jaké má tento malware schopnosti krádeže?

RatHat vytváří neviditelnou vrstvu, která překrývá bankovní a kryptoměnové aplikace a zachycuje přihlašovací údaje a jednorázová hesla. Také zachycuje SMS zprávy, čte oznámení, zaznamenává stisknuté klávesy a extrahuje PINy, vzory nebo odemyká hesla. Malware dokáže nahrávat obrazovku pomocí rozhraní MediaProjection API a získat kompletní seznam aplikací nainstalovaných v zařízení.

Architektura trojského koně se skládá ze tří částí: škodlivé aplikace, která funguje jako vstupní bod, „Go Agentu“, který se maskuje jako nativní knihovna a provádí příkazy s oprávněními shellu, a reverzního proxy klienta FRP, který vytváří zabezpečený tunel k velitelskému a řídicímu serveru. I když oběť aplikaci odinstaluje, útočník si ponechá vzdálený přístup k zařízení a může malware automaticky znovu nainstalovat.

Kromě toho RatHat obsahuje techniky proti analýze, jako je například „manifest bomb“ o velikosti 61 MB, otrava bajtkódem DEX a schéma dvojitého šifrování textových řetězců s názvem StringCrypto. Může také blokovat pokusy o odinstalaci zobrazením falešného rozhraní Google Play s chybovou zprávou.

Doporučení pro bezpečnost a zmírnění následků

Odborníci doporučují instalovat aplikace pouze z Google Play a být opatrní u všech aplikací, které bezdůvodně požadují oprávnění k přístupu. Možnosti pro vývojáře nebo bezdrátové ladění by nikdy neměly být povoleny, pokud není jejich účel plně pochopen. Udržování antivirového softwaru vašeho zařízení v aktuálním stavu a pravidelná kontrola udělených oprávnění jsou základní bezpečnostní opatření.

Pokud existuje podezření na infekci, nejbezpečnějším postupem je obnovení továrního nastavení, protože RatHat přežije standardní odinstalaci. I když identita cílů a počet postižených zařízení nejsou v současné době známy, výzkum společnosti Zimperium zLabs zdůrazňuje vývoj mobilních hrozeb směrem k autonomnějšímu a obtížněji kontrolovatelnému modelu.