Новооткрит троянски кон за банково подслушване на Android, наречен RatHat, използва функциите на телефона за кражба на профили. Зловредният код може самостоятелно да навигира в заразено устройство, да прихваща банкови данни за вход, да прихваща кодове за потвърждение и да възстановява PIN кода или шаблона за отключване на екрана на жертвата.

Кампанията започва с измама, а не с софтуерна уязвимост. Жертвите получават SMS фишинг съобщения или виждат злонамерени реклами, които ги пренасочват към фалшиви страници за изтегляне, често дегизирани като познато приложение.

Страниците убеждават хората да инсталират пакет с Android приложение от източник извън официалния магазин. От Malwarebytes отбелязаха заплахата, след като zLabs на Zimperium анализира нейната многостепенна операция.

От Malwarebytes заявяват в доклад, споделен с Cyber Security News (CSN), че RatHat комбинира социално инженерство, злоупотреба с достъпността (Accessibility Service) и отдалечени решения, базирани на изкуствен интелект.

Вместо да разчита само на фиксирани инструкции, RatHat може да използва асистент с изкуствен интелект в реално време, който да инспектира интерфейса и да решава къде да натисне или скролира. Тази вариативност може да отслаби откриването въз основа на прости сигнатури и да даде на киберпрестъпниците повече пътища до финансови приложения.

Нов зловреден код за Android използва изкуствен интелект

След инсталацията RatHat принуждава жертвата да активира услугата за достъпност (Accessibility Service) на Android, твърдейки, че трябва да се премахне ограничение на мрежата, или предлагайки несъществуваща финансова полза.

След като бъде одобрено, това разрешение позволява на приложението да преглежда съдържанието на екрана и да действа от името на потребителя, създавайки път за атака, подобен на активностите на банкови троянски коне за Android, докладвани в други кампании.

RatHat използва тези контроли, за да активира безжичното отстраняване на грешки (Wireless Debugging) и да прочете шестцифрения код за сдвояване. Приложението се сдвоява чрез Android Debug Bridge (ADB) — легитимен инструмент за разработчици. Тази злоупотреба с техники за безжично отстраняване на грешки осигурява на зловредния код сесия на ниво системна обвивка (shell), надхвърляща ограниченията на обикновено приложение.

С този достъп троянският кон внедрява два скрити системни компонента. Агент, базиран на Go, изпълнява системни команди, докато друг компонент създава продължителен тунел към сървър, контролиран от атакуващия. Тунелът може да запази достъпа през мрежови бариери и да поддържа отдалечена активност.

За извършване на банкови кражби RatHat поставя фалшиви екрани над целевите финансови приложения, за да събира потребителски имена, пароли и еднократни пароли. Той може също да прихваща SMS съобщения, отслабвайки защитите, които разчитат на кодове, изпратени чрез SMS.

По-широкообхватните рискове от кражба на еднократни кодове показват защо откраднатата парола вече не е единствената грижа. Неговата най-необичайна функция записва сурови координати от входния драйвер на телефона, улавяйки точно къде пръстът докосва дисплея.

RatHat сравнява тези точки с подредбата на клавиатурата и шаблона за отключване, за да възстанови PIN кодовете или шаблоните за отключване. Тъй като използва локациите на докосване, а не просто да чете екрана, този метод може да заобиколи защитите, предназначени да спират заснемането на екрана.

Устойчивостта увеличава залозите при възстановяване

RatHat може да възстанови своето злонамерено приложение, след като потребителят го премахне, благодарение на скрит фонов компонент. Ето защо изтриването на съмнително приложение може да не прекрати компрометирането.

Дизайнът отразява и други заплахи за Android, които съчетават фалшиви приложения, разширени разрешения и отдалечен контрол, включително схеми със скрити работни профили, използвани за заобикаляне на проверки за измами.

Най-силната защита остава избягването на първоначалното предоставяне на разрешения. Потребителите трябва да инсталират приложения само от Google Play или друг доверен официален магазин, да се отнасят с внимание към непоискани връзки и реклами и да отхвърлят заявки за достъпност (Accessibility), които не поддържат ясно реална функция за достъпност.

Приложение за развлечение, финанси или браузър няма нормална причина да изисква такова ниво на контрол. Потребителите трябва да държат опциите за разработчици (Developer Options) и безжичното отстраняване на грешки (Wireless Debugging) деактивирани, освен ако не ги разбират и не са им необходими за разработка.

Поддържането на Android и мобилния софтуер за сигурност актуализирани може да подобри откриването, но не е заместител на внимателния избор при инсталиране. Режимът за разширена защита (Advanced Protection Mode) може допълнително да ограничи кои приложения могат да изискват достъп до услугите за достъпност на поддържаните устройства.

Всеки, който смята, че RatHat е достигнал до телефона му, трябва да действа бързо. Променете банковите пароли от отделно доверено устройство, свържете се с банката, за да прегледате достъпа и транзакциите, и потърсете професионална поддръжка.

Тъй като неговата устойчивост може да преживее рутинно премахване на приложения, изследователите препоръчват връщане към фабричните настройки, преди да възстановите само съществени и доверени данни.