RatHat: Android-троян, который управляет заражённым устройством с помощью ИИ

Специалисты Zimperium zLabs описали новое семейство Android-вредоносов под названием RatHat. Его главная особенность — подсистема, которая с помощью большого языковой модели помогает операторам удалённо ориентироваться на экране взломанного устройства. По подсказкам (prompt'ам), написанным на китайском языке, исследователи предполагают связь авторов с китайскими группировками.

Распространяется RatHat привычными для мобильных троянов путями: через вредоносную рекламу, SMS и фишинговые сайты, предлагающие скачать APK в обход Google Play. После установки вредонос злоупотребляет разрешениями Accessibility («Специальные возможности»), получая широкие привилегии.

Захват контроля без внешнего компьютера

RatHat самостоятельно включает режим разработчика и беспроводную отладку, получая доступ к shell-уровню через ADB — без подключения к компьютеру. Аналогичный приём ранее встречался в семействах ToxicPanda и RedHook. Через ADB устанавливается агент на языке Go (liblocal-service.so), который выполняет команды с правами ADB shell, обходит ограничения по расходу батареи и обеспечивает живучесть. Причём агент и основной вредонос восстанавливают друг друга: удаление одного компонента запускает переустановку другого.

Второй агент (libmedia_codec.so) работает как обратный прокси-клиент FRP, поддерживая постоянный туннель к серверу злоумышленников. Сам троян показывает HTML-накладки поверх банковских и криптовалютных приложений, перехватывает SMS и уведомления (включая одноразовые пароли), фиксирует ввод текста, извлекает адреса из строки браузера и крадёт PIN-коды, пароли и графические ключи с экрана блокировки.

ИИ вместо жёстких сценариев

Самое любопытное — движок автоматизации интерфейса. RatHat сериализует «дерево доступности» Android в XML и отправляет его популярному ИИ-ассистенту (в отчёте он не назван). Модель определяет координаты центра нужного элемента, распознаёт его реальный текст на экране и возвращает команды навигации вроде SCROLL_DOWN. Такой подход делает автоматизацию куда гибче жёстко прописанных скриптов: операторам не нужно взаимодействовать с устройством в реальном времени, а защитному ПО труднее распознать активность.

Отдельно троян сопротивляется удалению — перехватывает окно подтверждения деинсталляции, отменяет процедуру и показывает поддельную накладку Google Play с фиктивным сообщением об ошибке. Есть и приёмы против анализа: искажение контейнера APK, раздутый до 61 МБ файл манифеста и некорректные псевдоинструкции DEX, ломающие исследовательские инструменты.

Рекомендации стандартны: не устанавливать APK из сторонних источников без явного доверия к издателю, не выдавать приложениям доступ к «Специальным возможностям» и регулярно проверять устройство через Play Protect.

Источник: Bleeping Computer