Обнаружено новое вредоносное ПО для Android под названием RatHat, нацеленное на пользователей с помощью подсистемы на базе искусственного интеллекта, которая помогает операторам удаленно перемещаться по взломанным устройствам. [...] Исследователи Zimperium zLabs проанализировали вредоносное ПО и полагают, что оно связано с злоумышленниками из Китая, обнаружив его с помощью подсказок LLM, написанных на китайском языке. Исследователи говорят, что вредоносное ПО распространяется через вредоносную рекламу, SMS и фишинговые сайты, продвигающие загрузку APK из-за пределов Google Play. Как и большинство семейств вредоносных программ для Android, RatHat использует права доступа Android для выполнения высокопривилегированных действий на зараженных устройствах. В частности, он позволяет параметрам разработчика и беспроводной отладке получать локальный контекст выполнения на уровне оболочки без необходимости использования внешнего компьютера, аналогично механизмам, наблюдаемым в семействах вредоносных программ для Android ToxicPanda и RedHook. Доступ к ADB позволяет RatHat установить агент на основе Go (liblocal-service.so), который запускает команды с привилегиями оболочки ADB, создает обходы ограничения заряда батареи и управляет постоянством. Тот же агент также восстанавливает вредоносное ПО, если оно удалено или остановлено, обеспечивая канал сохранения, независимый от самого вредоносного ПО. Резервное копирование осуществляется в обе стороны: вредоносная программа восстанавливает агент в случае его удаления. Второй агент (libmedia_codec.so) также действует как клиент обратного прокси-сервера FRP, устанавливая постоянный туннель для злоумышленника. Вредоносная программа отображает наложения HTML для целевых банковских и криптовалютных приложений для захвата учетных данных.
Источник: BleepingComputer — https://www.bleepingcomputer.com/news/security/new-rathat-android-malware-uses-ai-to-automate-device-control/
Комментарии