RatHat: Android-троян использует ИИ для захвата управления смартфоном
RatHat выводит мобильные трояны на новый уровень. Вредоносная тварь использует ИИ, чтобы самостоятельно ориентироваться в интерфейсе Android, нажимать нужные кнопки, включать чувствительные функции и закрепляться в системе. Zimperium обнаружила 162 заражённых приложения, которые связывались с 12 серверами злоумышленников.
Распространение начинается по классической схеме. Пользователь получает мошенническое SMS или сталкивается с вредоносной рекламой, после чего попадает на поддельную страницу загрузки. Она может выглядеть как Google Play и предлагать Chrome или приложение для просмотра видео. Скачанный APK оказывается трояном.
RatHat сам включает отладку Android
После установки RatHat просит доступ к специальным возможностям Android. Для этого вредонос может ссылаться на ограничения сети или обещать пользователю финансовую выгоду.
Доступ к Accessibility Services позволяет читать содержимое экрана и нажимать кнопки вместо человека. RatHat использует эти возможности, чтобы открыть настройки, перейти к параметрам разработчика и включить беспроводную отладку.
Затем троян считывает шестизначный код сопряжения и самостоятельно подключает смартфон к Android Debug Bridge, ADB. Компьютер для этой операции не требуется.
Получив расширенные права, RatHat устанавливает два компонента. Один выполняет системные команды, второй создаёт туннель для связи с инфраструктурой злоумышленников.
ИИ решает, куда нажимать
Главная особенность RatHat связана с обработкой интерфейса. Вместо жёстко заданной последовательности действий вредонос передаёт ИИ структуру элементов, отображённых на экране. Система сама определяет, куда нажать, когда прокрутить страницу и какой следующий шаг выполнить.
Из-за этого троян способен адаптироваться к разным версиям Android и изменённой структуре меню. Одинаковая атака может выглядеть по-разному на разных смартфонах, что усложняет обнаружение автоматическими средствами защиты.
RatHat особенно интересуется финансовыми приложениями, включая WeChat Pay и Alipay. Через поддельные окна поверх настоящих программ вредонос крадёт логины, пароли и коды подтверждения. Он также способен перехватывать SMS.
Есть ещё одна неприятная функция. RatHat записывает точные координаты нажатий на экране. Если сопоставить их с цифровой клавиатурой или сеткой блокировки, можно восстановить PIN-код или графический ключ, даже когда сам код непосредственно не отображается.
Простое удаление приложения после заражения может оказаться недостаточным. По данным Malwarebytes, для очистки устройства требуется полный сброс смартфона.
Самая практичная защита здесь скучная, но рабочая: устанавливать приложения из официальных магазинов, не открывать ссылки из подозрительных SMS и не выдавать разрешение Accessibility приложениям, которым оно объективно не требуется.
