RatHat: Malware Android Guna AI Kawal Peranti Anda

RatHat: Malware Android Guna AI Kawal Peranti Anda

Satu remote access trojan (RAT) Android baharu digelar RatHat, ditemui oleh Zimperium zLabs, menggabungkan yang paling teruk dari dua tahun malware mudah alih dengan sesuatu yang benar-benar baharu: assistant generative-AI yang memandu automasi UI-nya. Diedarkan melalui smishing, malvertising dan laman phishing yang menggalakkan muat turun APK di luar Google Play, ia melakukan ADB self-pairing secara automatik, memasang agent persisten di luar kitaran hayat aplikasi, dan — yang membezakannya — bertanya kepada assistant GenAI popular bagaimana mahu menavigasi antara muka peranti yang dijangkiti secara masa nyata.

Zimperium percaya pengendalinya dari China, sebahagiannya kerana prompt LLM dalam malware sendiri ditulis dalam bahasa Cina. Sasaran turut menjurus kepada platform China: tema overlay credential termasuk WeChat dan Alipay, selain aplikasi perbankan dan cryptocurrency. Tetapi pola automasi itu universal — dan ia akan muncul dalam malware lain dalam masa beberapa bulan.

Rantaian automasi: dari smishing ke mobile backdoor

Distribusi RatHat tiada yang istimewa, tetapi berkesan: SMS phishing, malvertising, dan portal muat turun palsu yang meyakinkan mangsa memasang APK. Tiada satu pun berada di Google Play. Setelah dipasang, aplikasi meminta kebenaran Accessibility — kebenaran yang diberikan mangsa kerana aplikasi palsu itu kelihatan seperti utiliti atau permainan.

Rantaian penuh, menurut laporan zLabs:

1. Abuse Accessibility + ADB self-pairing. Menggunakan Accessibility, RatHat menghidupkan Developer Options (mengetuk nombor build tujuh kali) dan membolehkan Wireless debugging. Ia kemudian membaca pairing code dan port terus dari sistem UI, memadankan dirinya ke transport ADB sendiri — tiada komputer luaran — dan menjatuhkan agent Go (liblocal-service.so) ke /data/local/tmp. Selaku ADB shell (uid=2000), agent menjalankan arahan shell dengan privilege yang tidak dimiliki aplikasi bersandbox.
2. Persistensi di luar kitaran hayat aplikasi. Agent Go ialah proses berasingan. Ia menjaga persistensinya sendiri: memintas sekatan bateri (dumpsys deviceidle whitelist, am set-standby-bucket active), dan memasang semula APK (pm install -r -g dari folder temp) walaupun pengguna menyahpasang aplikasi utama. Cuba buangnya dan aplikasi akan menuntut Device Administrator, memintas pengesahan penyahpasangan dan memaparkan overlay Google Play palsu sebagai ganti.
3. Tunnel songsang ke dalam rangkaian anda. Komponen kedua — libmedia_codec.so — sebenarnya client frpc (dari projek fatedier/frp), memberikan C2 tunnel reverse proxy yang persisten ke server HTTP tempatan peranti (127.0.0.1:7910). Dari segi rangkaian, ini seperti berjalan masuk menerusi pintu depan kerana kunci tidak pernah ditukar.
4. Tuai credential. Overlay HTML menindih skrin perbankan, crypto, WeChat dan Alipay untuk menangkap credential. Pemintasan SMS dan notifikasi menangkap OTP. Pemintas URL membaca address bar pelayar. Dan keylogger level hardware membina semula PIN skrin kunci, pattern dan kata laluan daripada event sentuhan mentah.

Bahagian baharu: assistant AI sebagai otak automasi

Trojan perbankan Android tradisional menggunakan layout yang berskrip dan kaku: ketik koordinat tetap ini untuk aplikasi ini. Jika aplikasi mengemas kini UI-nya, skripnya rosak. RatHat menjawabnya dengan automasi UI berbantukan GenAI:

• Malware menserialkan Accessibility tree kepada XML.
• Ia menghantar XML itu kepada assistant generative AI yang terkenal, memintanya melakukan tiga tugas konkrit: memulangkan koordinat pusat elemen UI yang dinamakan sebagai JSON (untuk ketikan sintetik), menentukan teks yang sebenarnya dipaparkan di skrin (supaya boleh menyesuaikan diri), dan menghasilkan arahan navigasi seperti SCROLL_DOWN.
• Koordinat dan arahan yang terhasil kemudian dilaksanakan terhadap peranti.

Kenapa ini penting: malware tidak lagi skrip tetap. Dimensi skrin, layout RTL, perbezaan papan kekunci, perubahan UI per-aplikasi — tiada yang penting, kerana model membaca skrin dan memutuskan apa yang perlu disentuh secara langsung. Penilaian Zimperium menyebut pendekatan ini menjadikan malware lebih mudah menyesuaikan diri dan lebih sukar dikesan perisian keselamatan berbanding automasi berskrip tradisional.

Bagi pasukan keselamatan, itu meruntuhkan andaian lama bahawa "kalau saya ubah UI aplikasi, trojan rosak." Mitigasi itu kini tidak lagi berkesan.

Perincian keylogger yang wajar diberi perhatian

Keylogger hardware ialah salah satu ciri paling jahat. Kerana agent Go berjalan selaku ADB shell (uid=2000), ia boleh membaca fail peranti mentah yang aplikasi Android normal tidak boleh sentuh:

# Simplified /dev/input event stream captured by the agent
EV_ABS       ABS_MT_TRACKING_ID   0000002b
EV_ABS       ABS_MT_POSITION_X    0000021c
EV_ABS       ABS_MT_POSITION_Y    00000658
EV_KEY       BTN_TOUCH             DOWN
EV_SYN       SYN_REPORT           00000000
EV_ABS       ABS_MT_POSITION_X    0000021e
EV_ABS       ABS_MT_POSITION_Y    00000656
EV_SYN       SYN_REPORT           00000000

Setiap rekod dipadankan dengan peta keypad peranti sendiri (locateValues.json), membina semula PIN, pattern kunci dan kata laluan yang ditaip pada skrin kunci — yang mengalahkan FLAG_SECURE (digunakan aplikasi untuk menyekat screenshot) dan juga papan kekunci khusus, kerana ia memintas lapisan UI sepenuhnya. Ini lubang buta yang sama yang telah lama dilawan pelayar dan aplikasi: jika input pernah sampai ke kernel event device, proses berprivilege ADB boleh mencatatnya.

Anti-analysis dan anti-removal

zLabs mendokumenkan empat lapisan pertahanan ditambah anti-debugging, jadi ini bukan masalah analisis statik semata-mata:

1. Tampering pada kontena — APK diubah suai semasa diedarkan.
2. 61 MB "manifest bomb" AndroidManifest.xml — 99% daripadanya ialah type chunk 0x9999 yang tidak didokumenkan, menekan parser standard ke had.
3. Pseudo-instruction DEX tidak sah — medan element_width tidak sah yang menjadikan hasil disassembly bytecode kucar-kacir.
4. Penyulitan string — StringFog dan StringCrypto menyembunyikan semua pemalar string (URL, arahan, prompt).

Bahagian anti-debug: semakan JDWP dan ptrace (TracerPid), pengesanan FLAG_DEBUGGABLE / ro.debuggable / ro.secure, probe ke port TCP default Frida (27042), dan pengesanan Xposed / root / emulator. Laporan itu menerbitkan IOC di GitHub Zimperium/IOC di bawah 2026-09-RatHat.

Apa yang perlu anda buat

Jika anda bekerja dalam keselamatan mudah alih atau mengurus armada Android, senarai tindakan amat pendek:

1. Jadikan "pasang di luar Google Play" garisan merah. Keseluruhan permukaan serangan RatHat ialah APK sideload. Pemilik peranti yang memasang dari kedai rasmi bukan dalam populasi sasaran ini.
2. Audit pemberian Accessibility. Semua trojan ini mendaki gunung yang sama. Semak aplikasi mana yang memegang Accessibility, dan cabut ia daripada apa-apa yang anda tidak pasang secara sedar. Pada armada terurus, kunci ia melalui polisi.
3. Perhatikan wireless debugging. Pengguna dengan Developer Options aktif, plus toggle "Wireless debugging" yang dia tidak ingat pernah flip, ialah tandatangan RatHat. RatHat mengeluarkan pairing code dan port daripada sistem UI secara automatik — jadi kewujudan dialog pairing bukan penghalang. Lumpuhkan Wireless debugging sepenuhnya apabila tidak digunakan secara aktif.
4. Rancang untuk automasi UI dipacu AI. Kawalan klasik "ubah UI aplikasi anda untuk merosakkan trojan" kini tidak berkesan terhadap kelas ini. Pengesanan beralih kepada pola accessibility dan pengaktifan (ketukan nombor build, pemberian accessibility, developer options yang tiba-tiba hidup), bukan layout overlay.

Ini menyertai pola yang sedang kami jejaki sekitar AI agents: teknologi yang sama memberi developer kuasa besar kini memberi malware autopilot. Jika alat yang disuntik prompt dan sesi coding yang dirampas mempersenjatai assistant AI yang dipercayai jurutera anda, RatHat menunjukkan sisi pengguna — malware yang bertanya kepada AI cara mengendalikan telefon yang telah dikompromi. Pengajaran yang sama di kedua-dua belah pagar: layan assistant sebagai keupayaan, bukan sebagai sempadan.

Sumber

• Zimperium zLabs: RatHat — AI-Powered Mobile Threat Is Here For Your Credentials & Bank Accounts
• BleepingComputer: New RatHat Android malware uses AI to automate device control
• Zimperium/IOC (GitHub): 2026-09-RatHat indicators of compromise