Malware Android RatHat menggunakan AI untuk mengotomatiskan kontrol perangkat

Sebuah malware Android baru bernama RatHat telah ditemukan, yang menargetkan pengguna dengan subsistem bertenaga AI yang membantu operator menavigasi perangkat yang terinfeksi dari jarak jauh.

Para peneliti Zimperium zLabs menganalisis malware tersebut dan meyakini bahwa malware itu terkait dengan pelaku ancaman dari Tiongkok setelah menemukannya menggunakan perintah LLM yang ditulis dalam bahasa Mandarin.

Para peneliti mengatakan bahwa malware tersebut disebarkan melalui iklan berbahaya (malvertising), SMS, dan situs phishing yang mempromosikan unduhan APK dari luar Google Play.

Seperti kebanyakan keluarga malware Android, RatHat mengandalkan penyalahgunaan izin Aksesibilitas Android untuk melakukan tindakan dengan hak akses tinggi pada perangkat yang terinfeksi.

Yang paling penting, fitur ini memungkinkan Opsi Pengembang dan Debugging Nirkabel untuk mendapatkan konteks eksekusi tingkat shell lokal tanpa memerlukan komputer eksternal, serupa dengan mekanisme yang terlihat pada keluarga malware Android ToxicPanda dan RedHook .

Akses ADB memungkinkan RatHat untuk menginstal agen berbasis Go (liblocal-service.so) yang menjalankan perintah dengan hak akses shell ADB, membuat bypass pembatasan baterai, dan mengelola persistensi.

Agen yang sama juga memulihkan malware jika dihapus atau dihentikan, menyediakan saluran persistensi yang independen dari malware itu sendiri. Cadangan ini berjalan dua arah, dengan malware memulihkan agen jika dihapus.

Agen kedua (libmedia_codec.so) juga bertindak sebagai klien reverse-proxy FRP, membangun terowongan permanen ke penyerang.

Malware tersebut menampilkan overlay HTML untuk aplikasi perbankan dan mata uang kripto yang ditargetkan guna mencuri kredensial akun.

Perangkat ini juga dapat mencegat pesan SMS dan notifikasi, termasuk kata sandi sekali pakai; merekam peristiwa perubahan teks; mengekstrak URL dari bilah alamat peramban; dan menangkap PIN layar kunci, kata sandi, dan pola pembuka kunci.

Navigasi yang dipandu AI
Zimperium melaporkan bahwa RatHat menggunakan mesin otomatisasi antarmuka pengguna bertenaga AI yang menserialisasi pohon Aksesibilitas Android langsung ke dalam XML dan mengirimkannya ke asisten AI populer yang tidak disebutkan namanya dalam laporan tersebut.

Kemudian, alat AI tersebut diberi tugas untuk:

Subsistem berbasis AI ini membuat otomatisasi antarmuka RatHat lebih mudah beradaptasi daripada otomatisasi yang sepenuhnya didasarkan pada skrip tetap, memungkinkan navigasi jarak jauh tanpa mengharuskan operator untuk melakukan interaksi secara real-tim

"RatHat menggunakan AI untuk menavigasi dan mengontrol antarmuka perangkat secara cerdas dalam waktu nyata, sehingga operasinya lebih mudah beradaptasi dan lebih sulit dideteksi oleh perangkat lunak keamanan dibandingkan otomatisasi tradisional yang menggunakan skrip," komentar Zimperium.

Para peneliti memperingatkan bahwa RatHat akan secara aktif menggagalkan upaya penghapusan dengan mencegat layar konfirmasi penghapusan instalasi, membatalkan prosedur tersebut, dan menampilkan overlay Google Play palsu yang berisi pesan kesalahan palsu.

Zimperium juga menyoroti beberapa teknik anti-analisis yang tertanam dalam malware, termasuk perusakan kontainer APK, file manifes Android yang membengkak (61MB), dan instruksi semu DEX yang tidak valid, semuanya bertujuan untuk membingungkan atau merusak alat analisis.

Pengguna Android sebaiknya tidak pernah mengunduh file APK dari luar Google Play kecuali mereka benar-benar mempercayai penerbitnya, menghindari pemberian izin Aksesibilitas kepada aplikasi, dan secara teratur memindai perangkat mereka dengan Play Protect.

Sumber : https://www.bleepingcomputer.com/news/security/new-rathat-android-malware-uses-ai-to-automate-device-control/