RatHat preuzima potpunu kontrolu nad telefonom, samostalno instalira AI agenta i snima sve sa ekrana - od PIN kodova i SMS poruka do lozinki za bankovne aplikacije.
Android korisnicima preti novi malver koji može da preuzme administratorsku kontrolu nad telefonom i ukrade gotovo sve što se pojavi na ekranu. Još gore, kada se jednom potpuno instalira, obično brisanje zaražene aplikacije nije dovoljno da ga uklonite.
Novi malver zove se RatHat, a otkrili su ga stručnjaci kompanije Zimperium. Napadači korisnike navode da preuzmu naizgled legitimnu aplikaciju, poput Google Chrome-a, sa lažne stranice koja imitira Google Play prodavnicu.
Nakon pokretanja, aplikacija od korisnika traži dozvole za pristupačnost. Upravo je njihovo odobravanje ključni trenutak napada, jer RatHat zatim može samostalno da se kreće kroz menije Android telefona.
Malver na ovaj način uključuje Wireless Debugging, legitimnu Android funkciju namenjenu programerima, a zatim sebi dodjeljuje ADB Shell dozvole. Time praktično dobija administratorski pristup uređaju.
RatHat potom instalira AI agenta koji izvršava sistemske komande i krade podatke, kao i proxy klijent kojim ih šalje napadačima. Prema kompaniji Zimperium, tragovi vode do napadača iz Kine, a glavne mete su aplikacije poput WeChat Pay-a i Alipay-a.
Malwarebytes upozorava da mogu biti napadnute i druge finansijske aplikacije. Istraživači su do sada pronašli 162 zaražene aplikacije, koje komuniciraju sa desetak servera pod kontrolom napadača.
Posebno je opasno što korisnik možda neće odmah primijetiti da nešto nije u redu. RatHat može neprimjetno da radi u pozadini i bilježi informacije koje se pojavljuju na ekranu.
To uključuje korisnička imena, lozinke i kodove za dvofaktorsku autentifikaciju. Malver može da presreće SMS poruke, ali i da bilježi dodire ekrana, što mu omogućava da rekonstruiše PIN kodove i šablone za otključavanje telefona.
Brisanje aplikacije nije dovoljno
Prisustvo RatHat malvera moguće je otkriti antivirusnim skeniranjem. Malwarebytes navodi da njihov softver može relativno lako da prepozna prijetnju, ali otkrivanje malvera ne znači da ga je jednako lako potpuno ukloniti.
RatHat instalira skrivene dodatne fajlove i može da menja svoje ponašanje uz pomoć AI sistema. Zbog toga standardna analiza i stavljanje zaražene aplikacije u karantin nisu dovoljni.
Ni deinstaliranje same aplikacije ne rešava problem. Skriveni fajlovi omogućavaju malveru da zadrži administratorski pristup i ponovo instalira zlonamernu aplikaciju.
Prema tvrdnjama stručnjaka, potpuno vraćanje telefona na fabrička podešavanja jedini je način da se RatHat potpuno ukloni sa zaraženog uređaja.
Dobra vijest je da napad može da se zaustavi prije nego što RatHat dobije kontrolu. Ne otvarajte linkove iz SMS poruka i imejlova nepoznatih pošiljalaca, a aplikacije preuzimajte direktno iz zvanične Google Play prodavnice.
Posebno budite oprezni ako stranica traži da ponovo instalirate Google Chrome ili neku drugu aplikaciju koju već imate. Lažnu Google Play prodavnicu možete prepoznati i po adresnoj traci pregledača, koju prava aplikacija nema.
Najvažnija linija odbrane ipak su dozvole za pristupačnost. Čak i ako preuzmete zlonamernu aplikaciju, RatHat ostaje uglavnom nemoćan sve dok mu ne omogućite napredne sistemske privilegije.