RatHat: un RAT Android pilotat de AI care citește ecranul pentru a se orienta

Cercetătorii zLabs de la Zimperium au publicat detalii despre RatHat, un troian de acces la distanță pentru Android care folosește AI generativ pentru a decide cum să navigheze pe un dispozitiv infectat. În loc să ruleze un script fix, RatHat transmite unui model AI o captură în timp real a elementelor de pe ecranul dispozitivului, iar acesta îi spune unde să apese în continuare -- un comportament despre care cercetătorii spun că este mai greu de detectat de software-ul de securitate decât malware-ul automatizat tradițional. Zimperium afirmă că tiparele lingvistice din prompturile malware-ului indică origini de limbă chineză.

Cum se răspândește și cum operează

RatHat ajunge la victime prin publicitate malițioasă, SMS și site-uri de phishing care promovează descărcări de APK-uri din afara Google Play. Odată instalat, abuzează de serviciile de accesibilitate Android pentru a activa depanarea wireless și a se conecta la Android Debug Bridge, ceea ce îi permite să iasă din sandbox-ul normal al aplicațiilor și să ruleze comenzi cu permisiuni ridicate. De acolo poate citi intrarea brută de pe ecranul tactil pentru a deduce coduri PIN și parole și suprapune ecrane false de banking, plată și portofel cripto pentru a captura credențiale și coduri de unică folosință. Zimperium spune că malware-ul vizează în principal aplicații financiare precum WeChat Pay și Alipay, alături de alte servicii regionale, și a legat 162 de aplicații infectate de aproximativ o duzină de servere controlate de operatori.

De ce rezistă la eliminare

RatHat rulează un serviciu ascuns independent de aplicația vizibilă, ceea ce îi permite să se reinstaleze singur și să recâștige permisiunile după ce un utilizator încearcă să îl elimine. De asemenea, se opune activ dezinstalării: interceptează confirmarea de dezinstalare a sistemului și afișează o eroare falsă Google Play pentru a face eliminarea să pară eșuată. Zimperium documentează și mai multe tehnici anti-analiză -- un manifest deliberat umflat și structuri de cod malformate -- menite să încetinească cercetătorii și scanerele automatizate.

Ce pot face MSP-urile

• Blocați instalarea din surse necunoscute și sideloading-ul pe profilurile de lucru gestionate.
• Permiteți serviciile de accesibilitate doar pentru aplicațiile aprobate și alertați la cererile noi.
• Dezactivați accesul ADB neautorizat sau opțiunile pentru dezvoltatori pe dispozitivele gestionate.
• Direcționați alertele de apărare împotriva amenințărilor mobile și EMM către SIEM cu un responsabil desemnat și un SLA.
• Spuneți-le utilizatorilor că suportul la distanță legitim vine doar prin propriul canal RMM, niciodată printr-un APK descărcat.

Nu există un singur patch pentru RatHat -- este o problemă de detecție și igienă, nu un CVE. Dacă un dispozitiv gestionat rezistă la o încercare normală de eliminare, deconectați-l de la conturile și rețelele sensibile înainte de a încerca din nou, în loc să presupuneți că o a doua ștergere va reuși acolo unde prima nu a reușit.

Surse: BleepingComputer, rezumatul cercetării Zimperium.