Výzkumníci v oblasti kybernetické bezpečnosti se zaměřili na novou hrozbu pro zařízení se systémem Android: RatHat, bankovního trojana s umělou inteligencí, který je schopen autonomně spravovat infikovaný telefon. Tento systém vizuálně rozpoznává prvky na obrazovce a sám se rozhoduje, jaké akce podnikne, čímž eliminuje potřebu zásahu kyberzločince v reálném čase. Tento objev nepochybně uvedl uživatele mobilního bankovnictví do pohotovosti.
Objev pochází od společnosti Zimperium zLabs, firmy specializující se na mobilní bezpečnost . Výzkumníci Gianluca Braga, Vishnu Pratapagiri a Fernando Ortega naznačili, že malware provozují osoby se sídlem v Číně. RatHat se šíří především prostřednictvím smishingových kampaní (podvodných textových zpráv) a škodlivé reklamy, která přesměrovává oběti na stránky třetích stran pro stahování. Vektor infekce je tedy dobře známý, ale sofistikovanost tohoto trojského koně představuje zlomový bod.
Takto trojský kůň krade bankovní přihlašovací údaje
V podstatě RatHat funguje jako klasický bankovní trojský kůň : generuje neviditelnou vrstvu, která se překryje pokaždé, když oběť otevře svou bankovní aplikaci. S touto vrstvou zachytává přihlašovací údaje a jednorázová hesla. Útočníci tak získají přímou kontrolu nad bankovními účty postižených uživatelů. Tím to ale nekončí: malware také používá rozhraní MediaProjection API systému Android k nahrávání obrazovky, zachycuje SMS zprávy a zobrazuje falešnou vrstvu, která napodobuje chybovou zprávu z Obchodu Google Play, když se oběť pokusí aplikaci odinstalovat.
Komponenta umělé inteligence, která ji činí jedinečnou
Co odlišuje RatHat od ostatních bankovních trojanů pro Android, je jeho schopnost využívat umělou inteligenci k navigaci a ovládání napadeného zařízení. Vývojáři tohoto typu malwaru obvykle musí ručně naprogramovat přesné souřadnice každého prvku na obrazovce, například umístění pole pro heslo nebo tlačítka pro přihlášení. Pokud bankovní aplikace změní svůj design, malware přestane fungovat. S přidáním asistenta s umělou inteligencí tento problém mizí. Malware serializuje strom přístupnosti zařízení ve formátu XML a odesílá jej generativnímu asistentovi s umělou inteligencí, který reaguje s pokyny, jak postupovat. Jak vysvětlil Zimperium, model se používá k vyřešení středových souřadnic prvku na obrazovce a směrování syntetických kliknutí, identifikaci skutečného textu zobrazeného na obrazovce a vydávání automatických navigačních příkazů, jako je rolování dolů.
Architektura a privilegovaný přístup
RatHat zneužívá oprávnění přístupnosti systému Android k odemčení možností pro vývojáře, povolení bezdrátového ladění a extrahování šestimístného párovacího kódu z Android Debug Bridge (ADB). S tímto kódem dosahuje lokálního samospárování s ADB, což mu umožňuje opustit standardní sandbox aplikací pro Android a spouštět nezávislé procesy s oprávněními na úrovni shellu. Architektura malwaru se skládá ze tří částí: škodlivé aplikace pro Android, která funguje jako vstupní bod pro získání kritických systémových oprávnění; „Go Agent“, který se maskuje jako nativní systémová knihovna a provádí příkazy s využitím přístupu k shellu; a reverzního proxy klienta FRP, který vytváří zabezpečený tunel k velitelskému a řídicímu serveru útočníků.
Techniky perzistence a antianalýzy
I když se oběti podaří aplikaci odinstalovat, útočník si ponechá přístup k shellu zařízení , což mu umožňuje zkontrolovat, zda je malware stále nainstalován, a pokud jej nenajde, znovu jej nainstalovat. RatHat také obsahuje hardwarový keylogger, spouštěný agentem Go Agent, který je schopen zaznamenávat stisknutí kláves na obrazovce. Instalační balíček funguje jako dropper, spouští hlavní škodlivý obsah a zahrnuje čtyři techniky proti analýze: manipulaci s kontejnerem balíčku, manifest bomb, která způsobuje pád nebo zamrznutí automatizovaných analytických systémů, otravu bajtkódem DEX k narušení procesu disassembleru a schéma dvojitého šifrování textových řetězců s názvem StringCrypto.
Data, která mohou být ukradena
Příkazy vydávané velitelským a řídicím serverem umožňují útočníkům shromažďovat SMS zprávy, přihlašovací údaje, soubory, PIN, vzor pro odemknutí obrazovky nebo heslo , snímky obrazovky, stisky kláves – včetně webových adres zadaných do prohlížeče – a seznam aplikací nainstalovaných v zařízení. „Toto připojení útočníci používají k získání přístupu k démonu ADB: je to univerzální cesta k zařízení, která přenáší vše, co si operátor přeje, bez ohledu na specifické funkce malwaru,“ vysvětlili výzkumníci ze Zimperia.
V současné době nejsou k dispozici žádné informace o identitě cílů kampaně ani o počtu zařízení, která mohla být napadena. Jasné je, že kombinace umělé inteligence a přístupu ADB činí z RatHatu obzvláště nebezpečnou hrozbu pro uživatele systému Android. Odborníci doporučují udržovat systém aktualizovaný, vyhýbat se instalaci aplikací z jiných než oficiálních obchodů s aplikacemi a věnovat velkou pozornost oprávněním, která aplikacím udělujete. Včasná detekce je klíčem ke zmírnění dopadu.
