Istraživači kibernetičke sigurnosti fokusirali su se na novu prijetnju Android uređajima: RatHat, bankarski trojanac s umjetnom inteligencijom sposoban za autonomno upravljanje zaraženim telefonom. Ovaj sistem vizualno prepoznaje elemente na ekranu i sam odlučuje koje će radnje poduzeti, eliminirajući potrebu za intervencijom kibernetičkog kriminalca u stvarnom vremenu. Ovo otkriće je nesumnjivo stavilo korisnike mobilnog bankarstva u stanje visoke pripravnosti.
Otkriće dolazi od Zimperium zLabsa, firme specijalizirane za mobilnu sigurnost . Istraživači Gianluca Braga, Vishnu Pratapagiri i Fernando Ortega naznačili su da zlonamjerni softver koriste akteri sa sjedištem u Kini. RatHat se širi prvenstveno putem smishing kampanja (prevarantskih tekstualnih poruka) i zlonamjernog oglašavanja koje preusmjerava žrtve na web stranice za preuzimanje trećih strana. Stoga je vektor infekcije dobro poznat, ali sofisticiranost ovog trojanca označava prekretnicu.
Ovako Trojanac krade bankarske podatke
U suštini, RatHat funkcioniše kao klasični bankarski trojanac : generiše nevidljivi sloj koji se prekriva svaki put kada žrtva otvori svoju bankarsku aplikaciju. Pomoću ovog sloja, napadači hvataju pristupne podatke i jednokratne lozinke. Na taj način, napadači dobijaju direktnu kontrolu nad bankovnim računima pogođenih korisnika. Ali to ne staje tu: zlonamjerni softver također koristi Androidov MediaProjection API za snimanje ekrana, presretanje SMS poruka i prikazivanje lažnog sloja koji oponaša poruku o grešci Google Play prodavnice kada žrtva pokuša da ga deinstalira.
Komponenta umjetne inteligencije koja ga čini jedinstvenim
Ono što razlikuje RatHat od drugih Android bankarskih trojanaca jeste njegova sposobnost korištenja vještačke inteligencije za navigaciju i kontrolu kompromitovanog uređaja. Tipično, programeri ove vrste zlonamjernog softvera moraju ručno programirati tačne koordinate svakog elementa na ekranu, kao što je lokacija polja za lozinku ili dugmeta za prijavu. Ako bankarska aplikacija promijeni svoj dizajn, zlonamjerni softver prestaje raditi. Dodavanjem AI asistenta, ovaj problem nestaje. Zlonamjerni softver serijalizira stablo pristupačnosti uređaja u XML formatu i šalje ga generativnom AI asistentu, koji odgovara s uputama o tome kako dalje postupiti. Kako je Zimperium objasnio, model se koristi za rješavanje središnjih koordinata elementa na ekranu i usmjeravanje sintetičkih klikova, identifikaciju stvarnog teksta prikazanog na ekranu i izdavanje automatskih navigacijskih naredbi, kao što je pomicanje prema dolje.
Arhitektura i privilegovani pristup
RatHat zloupotrebljava dozvole za pristup Androidu kako bi otključao opcije za razvojne programere, omogućio bežično otklanjanje grešaka i izdvojio šestocifreni kod za uparivanje iz Android Debug Bridge-a (ADB). Pomoću ovog koda postiže lokalno samouparivanje s ADB-om, što mu omogućava izlazak iz standardnog sandboxa Android aplikacija i pokretanje nezavisnih procesa s privilegijama na nivou ljuske. Arhitektura zlonamjernog softvera sastoji se od tri dijela: zlonamjerne Android aplikacije, koja djeluje kao ulazna tačka za dobijanje kritičnih sistemskih dozvola; "Go Agent" koji se maskira u izvornu sistemsku biblioteku i izvršava naredbe koristeći pristup ljusci; i FRP reverznog proxy klijenta, koji uspostavlja siguran tunel do komandnog i kontrolnog servera napadača.
Tehnike perzistencije i anti-analize
Čak i ako žrtva uspije deinstalirati aplikaciju, napadač zadržava pristup ljusci uređaja , što mu omogućava da provjeri da li je zlonamjerni softver još uvijek instaliran i da ga ponovo instalira ako ga ne pronađe. RatHat također uključuje keylogger na hardverskom nivou, koji izvršava Go Agent, a sposoban je za snimanje pritiska tipki na ekranu. Instalacijski paket djeluje kao dropper, lansirajući glavni zlonamjerni teret i uključujući četiri tehnike protiv analize: manipulaciju kontejnerom paketa, manifest bombu koja uzrokuje pad ili zamrzavanje automatiziranih sistema za analizu, trovanje DEX bajtkoda za prekid procesa rastavljanja i shemu dvostrukog šifriranja za tekstualne nizove pod nazivom StringCrypto.
Podaci koji mogu biti ukradeni
Komande koje izdaje komandni i kontrolni server omogućavaju napadačima prikupljanje SMS poruka, akreditivnosti, datoteka, PIN-a, uzorka za zaključavanje ekrana ili lozinke , snimaka ekrana, pritiska tipki - uključujući web adrese unesene u pretraživač - i listu aplikacija instaliranih na uređaju. "Napadači koriste ovu vezu za pristup ADB demonu: to je opšta putanja do uređaja koja nosi sve što operater želi, bez obzira na specifične funkcije zlonamjernog softvera", objasnili su istraživači Zimperiuma.
Trenutno nema dostupnih informacija o identitetu meta kampanje ili broju uređaja koji su možda bili kompromitovani. Ono što je jasno jeste da kombinacija AI i ADB pristupa čini RatHat posebno opasnom prijetnjom za korisnike Androida. Stručnjaci preporučuju ažuriranje sistema, izbjegavanje instaliranja aplikacija izvan službenih trgovina aplikacija i obraćanje pažnje na dozvole koje dajete aplikacijama. Rano otkrivanje je ključno za ublažavanje utjecaja.
