Троян для Android управляет смартфоном через ИИ и остаётся в системе после удаления
Изображение: thehackernews.com
Специалисты компании Zimperium описали новое семейство вредоносов для Android под названием RatHat, за которым, по версии исследователей, стоят злоумышленники из Китая. Зловред не ограничивается кражей данных — он превращает смартфон в полностью управляемое извне устройство и сохраняет контроль даже после того, как жертва удалит подозрительное приложение. О том, как устроена схема, эксперты рассказали в своём отчёте.
Как троян попадает на устройство
Распространяется RatHat через поддельные страницы, на которые пользователей приводят SMS-рассылки и вредоносная реклама. Там жертве предлагают скачать APK-файл в обход официального магазина приложений — под видом обновления или полезной утилиты. Загруженный пакет выступает дроппером: он устанавливает основной модуль и сразу же выводит фальшивое окно с ошибкой установки, оформленное под Google Play, чтобы пользователь решил, что ничего не произошло.
Чтобы затруднить разбор кода, авторы применили сразу четыре приёма против автоматического анализа.
| Приём | Как реализован |
|---|---|
| Порча контейнера | Подмена флагов шифрования в ZIP-заголовках APK-пакета |
| Манифест-бомба | Недокументированные заголовки чанков 0x9999 в AndroidManifest.xml |
| Отравление байт-кода DEX | Некорректные значения element_width, ломающие декомпиляторы |
| Двойное шифрование строк | Обфускатор StringCrypto в связке с Base64 |
Приёмы RatHat, затрудняющие автоматический анализ
Три компонента и служба специальных возможностей
Схема состоит из трёх частей — вредоносного Android-приложения, агента на языке Go и клиента реверс-прокси FRP. Ключ ко всему — служба специальных возможностей: получив к ней доступ, приложение само открывает раздел «Для разработчиков», включает беспроводную отладку и считывает код сопряжения ADB. После этого оператор подключается к смартфону по отладочному протоколу и получает полноценную командную строку.
Что умеет зловред
- перехватывать учётные данные через поддельные экраны поверх легитимных приложений;
- записывать происходящее на экране через MediaProjection API;
- перехватывать SMS, включая одноразовые коды подтверждения;
- фиксировать нажатия клавиш на аппаратном уровне, в том числе адреса открываемых сайтов;
- выгружать файлы, PIN-коды, графические ключи и пароли;
- делать снимки экрана и собирать список установленных приложений.
Почему удаление приложения не помогает
Обычно удаление вредоносной программы закрывает вопрос, но с RatHat это не работает. Шелл, полученный через локальную службу ADB, существует отдельно от самого приложения: даже если пользователь найдёт и удалит зловред, у атакующего остаётся доступ к командной строке, через который вредонос просто устанавливается заново. Разорвать такую связь штатными средствами почти невозможно — как минимум требуется отключить беспроводную отладку, а надёжнее сбросить устройство к заводским настройкам.
Искусственный интеллект в роли оператора
Отдельная особенность RatHat — обращение к генеративному ИИ. Вредонос сериализует дерево элементов интерфейса в XML и отправляет его, по описанию Zimperium, одному из самых популярных в мире ИИ-ассистентов; конкретный сервис исследователи не называют. Модель возвращает координаты нужных элементов, а зловред воспроизводит по ним синтетические нажатия. Благодаря этому оператор не привязан к конкретной версии прошивки или фирменной оболочке — троян сам разбирается, куда нажимать на незнакомом устройстве.
В Zimperium подчёркивают, что традиционные сигнатурные средства защиты мобильных устройств против такой угрозы неэффективны. Заметить компрометацию помогают косвенные признаки — самопроизвольно включённая беспроводная отладка, выданные сомнительному приложению специальные возможности и незнакомые исходящие соединения.
