RatHat: trojan na Androida sam paruje się z ADB przez Wireless Debugging i przejmuje telefon bez komputera

Zimperium opisało nowy malware na Androida o nazwie RatHat. Badacze wiążą go z hakerami z Chin, i zwracają uwagę na nietypowe połączenie dwóch technik: lokalnego przejęcia ADB przez Wireless Debugging oraz generatywnej AI wykorzystywanej do nawigowania po interfejsie telefonu. Malware trafia na urządzenia przez smishing, złośliwe reklamy i fałszywe strony z APK. Kradnie dane bankowe, odczytuje PIN-y z ruchów palca i odtwarza się po odinstalowaniu.

Zimperium opisało RatHat, malware na Androida, który po uzyskaniu uprawnień Accessibility sam paruje się z lokalnym ADB przez Wireless Debugging, zdobywa dostęp na poziomie powłoki i wykorzystuje generatywną AI do nawigacji po interfejsie i kradzież danych finansowych.

Jak luka w libheif, błąd konfiguracji SSO i Claude Opus 5 otworzyły drogę do wewnętrznego repozytorium OpenAI

Malware RatHat trafia na telefon za pośrednictwem fałszywych stron, wiadomości SMS, złośliwych reklam i innych kanałów kierujących użytkownika do ręcznej instalacji APK spoza Google Play. Jedna z analizowanych przez Zimperium wersji podszywała się pod popularną aplikację streamingową, a ikona mogła zostać zmieniona tak, by wyglądała jak Chrome. Po instalacji malware próbuje nakłonić użytkownika do przyznania usługi Accessibility (ułatwienia dostępu). To właśnie ona pozwala mu automatycznie otworzyć Opcje programistyczne, włączyć Wireless Debugging (pozwala łączyć telefon z komputerem przez Wi-Fi za pomocą ADB, czyli Android Debug Bridge, bez konieczności podłączania przez USB) i odczytać z ekranu sześciocyfrowy kod parowania, a także port ADB. Następnie RatHat łączy się z lokalnym demonem ADB (działający w telefonie proces systemowy odpowiedzialny za obsługę połączeń ADB) bez podłączania komputera i uzyskuje dostęp na poziomie powłoki.

Sztuczna inteligencja ma teraz donosić na sztuczną inteligencję. Powstała infolinia dla agentów AI

Zdobyty dostęp służy do uruchomienia dwóch napisanych w Go komponentów: agenta liblocal-service.so oraz klienta FRP (Fast Reverse Proxy – narzędzie do tworzenia tunelu sieciowego, który pozwala udostępnić usługę działającą w urządzeniu zdalnemu serwerowi) ukrytego pod nazwą libmedia_codec.so. Pierwszy wykonuje polecenia z poziomu powłoki i odpowiada m.in. za utrzymanie działania malware, drugi tworzy tunel do infrastruktury atakującego. Dzięki temu operator może zdalnie sterować urządzeniem niezależnie od głównej aplikacji. Nietypowym elementem RatHat jest wykorzystanie generatywnej AI. Malware zapisuje informacje o elementach ekranu telefonu w pliku XML, a następnie przekazuje je popularnemu asystentowi AI. Model może wskazać współrzędne elementu, odczytać jego tekst oraz zdecydować o wykonaniu polecenia, takiego jak przewinięcie ekranu. Zimperium nie podało nazwy wykorzystanego modelu.

Revolut potwierdza wyciek danych klientów. Oszust wykorzystał do tego prawdziwą domenę rządową

RatHat potrafi również kraść dane logowania z aplikacji bankowych i płatniczych za pomocą fałszywych interfejsów nakładanych na prawdziwe aplikacje. Zbierane są także SMS-y i powiadomienia, w tym kody jednorazowe. Szczególnie interesujący jest mechanizm odczytu surowych współrzędnych dotyku z /dev/input. Agent AI wykorzystuje narzędzie getevent, a następnie porównuje położenie palca z układem klawiatury konkretnego producenta. W ten sposób może odtworzyć PIN lub wzór odblokowania, nawet gdy aplikacja korzysta z FLAG_SECURE albo niestandardowej klawiatury.

Po wycieku danych milionów Polaków rząd bierze się za firmy, których dotąd nikt skutecznie nie kontrolował

RatHat ma również mechanizmy utrudniające usunięcie. Podczas próby odinstalowania wyświetla fałszywy komunikat stylizowany na Google Play, a działający poza cyklem życia aplikacji agent może po jej usunięciu ponownie zainstalować APK i przywrócić odpowiednie uprawnienia. Zimperium wykryło ponadto cztery warstwy antyanalizy, w tym 61-megabajtowy AndroidManifest.xml, modyfikacje kontenera ZIP, zatruwanie kodu DEX (celowe modyfikowanie kodu aplikacji Androida tak, aby utrudnić jego analizę lub ukryć działanie malware) oraz podwójne szyfrowanie ciągów. Malware stosuje też sześć mechanizmów antydebugowania, obejmujących m.in. wykrywanie Fridy, Xposed, roota oraz uruchomienia systemu w emulatorze. Google Play Protect skanuje również aplikacje instalowane spoza Google Play i może ostrzegać przed potencjalnie szkodliwym oprogramowaniem, a także je wyłączyć lub usunąć. Sam fakt, że RatHat wykorzystuje sideloading, nie oznacza więc automatycznie, że zabezpieczenia Androida są bezskuteczne. Najważniejsze jest jednak to, jakie uprawnienia użytkownik przyzna złośliwej aplikacji i czy malware zdąży wykorzystać je do uzyskania dostępu przez ADB.