Forscher der zLabs von Zimperium haben eine Analyse durchgeführt. Android Trojaner, der einen automatisierten, mehrstufigen Infektionsprozess nutzt.
Neu ist, dass RatHat einem KI-Assistenten in Echtzeit die Schlüssel zum Barrierefreiheitsbaum des infizierten Geräts gibt und diesen nutzt, um zu bestimmen, wo getippt oder gescrollt werden muss, anstatt einem fest codierten Skript zu folgen.
Der variable Angriffspfad erschwert es signatur- und regelbasierten mobilen Sicherheitstools, diesen Trojaner zu erkennen.
Es missbraucht auch Android Debug Bridge (ADB), ein legitimes Tool, das es einem Computer ermöglicht, mit einem Android Gerät. Durch Aktivieren des drahtlosen Debuggings kann RatHat die normale App-Sandbox verlassen.
Der Angriff
Die Infektionskette ist für eine mobile Bedrohung ungewöhnlich komplex und kombiniert Social Engineering, Missbrauch der Zugänglichkeit und KI-gestützte Fernentscheidungen in einer einzigen Kette.
- Die Opfer werden durch smishing Nachrichten (SMS-Phishing) und schädliche Werbeanzeigen angelockt, die zu gefälschten Downloadseiten führen, die manchmal als beliebte Streaming-App oder sogar als Browser getarnt sind. Chrome Diese Seiten verleiten Nutzer dazu, eine schädliche APK-Datei manuell zu installieren ( Android Paket-Kit).
- Nach der Installation drängt die App den Benutzer zur Aktivierung. Android Der Barrierefreiheitsdienst von [Name des Unternehmens] nutzt eine vorgeschobene „Netzwerkbeschränkung“ oder vorgetäuschte finanzielle Anreize. Barrierefreiheitsdienste laufen im Hintergrund und können Bildschirminhalte analysieren und im Namen des Nutzers mit Apps interagieren.
- Mithilfe der Zugriffsrechte greift die Malware unbemerkt auf die Entwickleroptionen zu, aktiviert das drahtlose Debugging und liest den sechsstelligen Kopplungscode direkt vom Bildschirm aus. Anschließend koppelt sie sich automatisch mit dem infizierten Gerät, ohne dass ein Benutzer oder Computer den Vorgang abschließen muss. Dies ist eine bekannte und legitime Methode. Android Eine Funktion (die normalerweise von App-Entwicklern zum Testen auf einem Telefon über WLAN verwendet wird), die RatHat für die Selbsteskalation umfunktioniert.
- Durch diese Selbstpaarung erhält die Malware eine ADB-Sitzung auf Shell-Ebene, die sie nutzt, um zwei getarnte native Binärdateien abzuspielen: Einen Go-basierten „Agenten“, der Systembefehle mit erhöhten Berechtigungen ausführt, und einen Reverse-Proxy-Client, der einen permanenten Tunnel zurück zum Server des Angreifers öffnet und dabei Firewalls und NAT (Network Address Translation) umgeht.
- Um Anmeldedaten zu stehlen, erstellt der Trojaner Overlays für bestimmte Anwendungen, hauptsächlich Finanzanwendungen. Diese Overlays können auch Einmalpasswörter (OTPs) und Codes für die Multi-Faktor-Authentifizierung (MFA) stehlen.
- Die wohl innovativste Funktion zeichnet die Rohdaten der Berührungskoordinaten (wo der Finger den Bildschirm berührt) direkt vom Eingabetreiber auf. Anschließend werden diese Koordinaten mit einer Datenbank bekannter Tastatur- und Entsperrmuster abgeglichen, um PIN-Codes und Entsperrmuster zu rekonstruieren und so den Schutz vor Bildschirmauslesung vollständig zu umgehen.
Zu den weiteren Funktionen gehören das Abfangen von SMS-Nachrichten, eine Form der halbautonomen Gerätesteuerung durch den KI-Dienst sowie die Möglichkeit, die schädliche App nach ihrer Deinstallation mithilfe eines versteckten Hintergrundprogramms wiederherzustellen.
Wie man sicher bleibt
Die meisten Tricks von RatHat beruhen darauf, jemanden dazu zu bringen, eine App per Sideloading zu installieren und ihr Zugriffsberechtigungen zu erteilen. Daher bleibt der übliche Rat zur mobilen Sicherheit der stärkste Schutz.
- Installieren Sie Apps ausschließlich aus Google Play oder einem anderen vertrauenswürdigen offiziellen App-Store. Dies bietet zwar keine absolute Sicherheit, reduziert das Risiko aber erheblich.
- Seien Sie misstrauisch gegenüber Apps, die Sie auffordern, den Bedienungshilfendienst aus Gründen zu aktivieren, die nichts mit Barrierefreiheit zu tun haben. Android 'S Advanced Der Schutzmodus, den Google seit einiger Zeit einsetzt, um einzuschränken, welche Apps überhaupt Zugriffsberechtigungen anfordern können .
- Aktivieren Sie niemals die Entwickleroptionen oder das drahtlose Debugging, es sei denn, Sie wissen genau, wofür Sie diese benötigen. Seriöse Apps haben keinen Grund, danach zu fragen.
- Verwenden Sie eine aktuelle Echtzeit -Antimalware-Lösung für Ihr Gerät . Malwarebytes für Android erkennt RatHat als Android /Trojan.Exploit.RatHat .
Wenn Ihr Gerät mit RatHat infiziert ist, müssen Sie es auf Werkseinstellungen zurücksetzen, da der Persistenzmechanismus die normale Deinstallation der App überstehen kann.
Betrüger wissen mehr über dich, als du denkst.
Malwarebytes Mobile Security Sie vor Phishing, betrügerischen SMS, bösartigen Websites und vielem mehr. Mit integriertem, KI-gestütztem Scam Guard in Echtzeit.
