RatHat: Android-kártékony AI-val lopja a banki adatokat

A RatHat elsősorban SMS-phishing, rosszindulatú hirdetések és megtévesztő letöltési oldalak útján terjed. A támadás szociális mérnökséggel kezdődik: a kártékony alkalmazás ismerős szoftverként (például streamingalkalmazásként vagy Chrome-ként) jelenik meg, és az Android Accessibility szolgáltatás engedélyezésére kéri fel a felhasználót. Miután megkapja ezt az engedélyt, a malware automatikusan aktiválja a Fejlesztői beállításokat és a Wireless Debuggingot, majd az Android Debug Bridge (ADB) segítségével rendszerhozzáférést szerez.

A kártékony szoftver generatív AI-asszisztenst használ az adaptív támadáshoz: az Android Accessibility fájából információkat küld az AI-nak, amely segít meghatározni a képernyőn megjelenő elemek helyét, szöveget olvasni és jelezni, mikor kell görgetni. Ez rugalmasabbá teszi a támadást az egyszerű automatizáláshoz képest. A RatHat hamis képernyőket jeleníthet meg a banki és kriptovaluta-alkalmazások fölé, hogy a felhasználó közvetlenül a támadó oldalára írja be a hitelesítési adatokat.

A malware képes SMS-üzeneteket és értesítéseket elfogni, így egyszer használható jelszavakat és kétfaktoros kódokat szerezhet meg. Különösen veszélyes képessége, hogy az érintési koordináták nyomon követésével rekonstruálja a PIN-kódokat és az Android mintázat-lezárásokat, még akkor is, ha a képernyő normálisan elrejti a beírt számjegyeket. A kártékony szoftver továbbá egy natív szolgáltatást indít az alkalmazás életciklusa mellett, amely az alkalmazás eltávolítása után is megmaradhat, és meghiúsíthatja az eltávolítási kísérleteket.