RatHat: sterowany przez AI trojan RAT na Androida, który czyta ekran, by nawigować

Badacze z zespołu zLabs firmy Zimperium opublikowali szczegóły na temat RatHat, trojana zdalnego dostępu na Androida, który wykorzystuje generatywną AI do podejmowania decyzji o tym, jak poruszać się po zainfekowanym urządzeniu. Zamiast uruchamiać stały skrypt, RatHat przekazuje modelowi AI migawkę elementów widocznych na ekranie urządzenia, a ten wskazuje, gdzie kliknąć dalej – zachowanie, które według badaczy jest trudniejsze do wykrycia przez oprogramowanie zabezpieczające niż tradycyjne zautomatyzowane złośliwe oprogramowanie. Zimperium twierdzi, że wzorce językowe w promptach złośliwego oprogramowania wskazują na chińskojęzyczne pochodzenie.

Jak się rozprzestrzenia i działa

RatHat dociera do ofiar przez malvertising, SMS-y i strony phishingowe, które nakłaniają do pobierania plików APK spoza Google Play. Po zainstalowaniu nadużywa usług ułatwień dostępu Androida, aby włączyć debugowanie bezprzewodowe i połączyć się z Android Debug Bridge, co pozwala mu wyjść poza normalną piaskownicę aplikacji i uruchamiać polecenia z podwyższonymi uprawnieniami. Dzięki temu może odczytywać surowe dane z ekranu dotykowego, aby wywnioskować kody PIN i hasła, a także nakłada fałszywe ekrany bankowe, płatnicze i portfeli kryptowalutowych, aby przechwytywać dane logowania i kody jednorazowe. Zimperium podaje, że złośliwe oprogramowanie atakuje przede wszystkim aplikacje finansowe, takie jak WeChat Pay i Alipay, oraz inne regionalne usługi, i powiązało 162 zainfekowane aplikacje z około dwunastoma serwerami kontrolowanymi przez operatorów.

Dlaczego opiera się usunięciu

RatHat uruchamia ukrytą usługę niezależną od widocznej aplikacji, co pozwala mu na ponowną instalację i odzyskanie uprawnień po próbie usunięcia przez użytkownika. Aktywnie walczy też z odinstalowaniem: przechwytuje systemowe potwierdzenie odinstalowania i wyświetla fałszywy błąd Google Play, aby usunięcie wyglądało na nieudane. Zimperium dokumentuje również kilka technik utrudniających analizę – celowo rozbudowany manifest i zniekształcone struktury kodu – zaprojektowanych tak, aby spowolnić badaczy i automatyczne skanery.

Co mogą zrobić dostawcy usług zarządzanych (MSP)

• Blokuj sideloading i nieznane źródła aplikacji w zarządzanych profilach służbowych.
• Ogranicz usługi ułatwień dostępu wyłącznie do zatwierdzonych aplikacji i alarmuj o nowych żądaniach.
• Wyłącz nieautoryzowany dostęp ADB lub opcje programistyczne na zarządzanych urządzeniach.
• Kieruj alerty z mobilnej ochrony przed zagrożeniami i EMM do systemu SIEM z wyznaczonym właścicielem i SLA.
• Informuj użytkowników, że legalne wsparcie zdalne odbywa się wyłącznie przez Twój własny kanał RMM, nigdy przez pobrany plik APK.

Nie ma jednej poprawki na RatHat – to problem wykrywania i higieny, a nie CVE. Jeśli zarządzane urządzenie opiera się normalnej próbie usunięcia, odłącz je od wrażliwych kont i sieci, zanim spróbujesz ponownie, zamiast zakładać, że drugie czyszczenie się powiedzie, skoro pierwsze się nie udało.

Źródła: BleepingComputer, podsumowanie badań Zimperium.