Eine neue, künstliche Intelligenz nutzende Android-Schadsoftware namens RatHat greift gezielt mobile Geräte an, um Bankdaten und Zugangsdaten zu stehlen. Entdeckt von Sicherheitsforschern, hebeln die Angreifer über smishing-Kampagnen und manipulierte App-Pakete die Systemsicherheit aus, um dauerhaften Shell-Zugriff und Administratorrechte zu erlangen.
Die Infektionskette: Wie RatHat auf Android-Geräte gelangt
Sicherheitsforscher von Zimperium haben eine neue Malware-Gefahr für das mobile Betriebssystem Android identifiziert. Nutzer werden dabei auf täuschend echt gestaltete Webseiten gelockt, die offiziellen App-Stores nachempfunden sind und den Download schädlicher Installationspakete verleiten.
Um der automatisierten Analyse zu entgehen, setzt die Malware auf eine Reihe technischer Hürden. Die Angreifer nutzen vier verschiedene Anti-Analyse-Techniken, darunter manipulierte APK-Container, eine übermäßig große Android-Manifestdatei sowie unzulässige Bytecode-Instruktionen, um Disassemblierungs-Werkzeuge und Detektionsmechanismen gezielt zum Absturz zu bringen oder ins Leere laufen zu lassen.
Künstliche Intelligenz als Bedienhilfe für Fernzugriffe
Nach der erfolgreichen Installation nutzt RatHat die von den Opfern gutgläubig erteilten Berechtigungen der Android-Bedienungshilfen, um im Hintergrund eigenständig Systemeinstellungen zu verändern.
Die künstliche Intelligenz dient den Angreifer-Skripten dabei als flexibler Navigationsassistent.
- Das Ermitteln von Schaltflächen-Koordinaten auf dem Bildschirm als JSON-Daten zur Steuerung synthetischer Klicks.
- Das Auslesen und Verarbeiten von Texten direkt aus der XML-Struktur der Benutzeroberfläche.
- Das Auslösen automatischer Navigationsbefehle wie Bildlauf-Aktionen.
Durch diese Echtzeit-Auswertung durch eine KI passt sich die Schadsoftware dynamisch an unterschiedliche Bildschirmauflösungen, Menüstrukturen und Android-Versionen an, ohne an starre Koordinaten gebunden zu sein.
Missbrauch von ADB zur dauerhaften Gerätekontrolle
Ein zentrales Element der Architektur ist die Umgehung der App-Sandbox. Das Programm schaltet über die Bedienungshilfen die Entwickleroptionen frei, aktiviert das drahtlose Debugging und extrahiert den sechsstelligen Kopplungscode, um eine lokale Verbindung über die Android Debug Bridge herzustellen.
Zusätzlich zum Hauptprogramm agieren zwei Go-basierte Hintergrundprozesse auf dem System. Ein als nützliche Bibliothek getarnter Go-Agent nutzt die Shell-Rechte, um das Programm von Energiesparmodi auszunehmen und die Persistenz zu sichern. Ein Reverse-Proxy-Client stellt wiederum eine permanente Verbindung zu den Servern der Angreifer her.
Laut Zimperium, via The Hacker News, wird diese Verbindung von Angreifern genutzt, um Zugriff auf den ADB-Daemon zu erhalten, da sie einen universellen Weg in das Gerät darstellt, der unabhängig vom eigentlichen Funktionsumfang der Malware beliebige vom Operator gewünschte Aktionen ausführt.
Finanzdaten im Visier und die Notwendigkeit von Werkseinstellungen
Die Schadsoftware zielt insbesondere auf Finanzanwendungen, Krypto-Apps und chinesische Zahlungsdienste wie WeChat Pay und Alipay ab, wobei laut CNET auch andere Bezahl-Apps betroffen sein können. Sie blendet manipulierte Overlay-Fenster ein, zeichnet über die MediaProjection-API den Bildschirminhalt auf, fängt SMS-Nachrichten mit Einmalpasswörtern ab und liest Berichten zufolge berührungsbasierte Eingaben an Sperrbildschirmen und PIN-Pads aus.
Da die im System verankerten Prozesse und versteckten Dateien selbst nach einer einfachen Deinstallation der App über den ADB-Shell-Zugriff weiterbestehen und die Anwendung eigenständig neu installieren können, reicht eine herkömmliche Entfernung laut Sicherheitsexperten nicht aus. Als einzig verlässlicher Weg, um infizierte Geräte vollständig von RatHat zu befreien, gilt ein kompletter Werksreset des Smartphones.
Weiterlesen
