بدافزار اندرویدی جدید RatHat با استفاده از هوش مصنوعی کنترل دستگاه را خودکار می‌کند

بدافزار اندرویدی جدیدی با نام RatHat کشف شده است که کاربران را از طریق یک زیرسیستم مبتنی بر هوش مصنوعی هدف قرار می‌دهد. این زیرسیستم به اپراتورها کمک می‌کند تا دستگاه‌های هک‌شده را از راه دور کنترل کنند.

پژوهشگران Zimperium zLabs پس از بررسی این بدافزار و مشاهده پرامپت‌های LLM به زبان چینی، معتقدند که RatHat به هکرهای مستقر در چین مرتبط است.

بر اساس گزارش‌های منتشرشده، این بدافزار از طریق تبلیغات مخرب، پیامک و سایت‌های فیشینگ که دانلود فایل‌های APK را از منابعی خارج از Google Play ترویج می‌کنند، توزیع می‌شود.

مانند بسیاری از بدافزارهای اندرویدی، RatHat برای انجام اقدامات دارای دسترسی بالا در دستگاه‌های آلوده، بر سوءاستفاده از مجوزهای Accessibility سیستم متکی است.

قابل‌توجه‌ترین ویژگی این بدافزار، فعال‌سازی Developer Options و Wireless Debugging برای به‌دست‌آوردن دسترسی اجرایی در سطح شِل محلی بدون نیاز به رایانه خارجی است؛ سازوکاری که مشابه آن در بدافزارهای اندرویدی ToxicPanda و RedHook نیز دیده شده بود.

دسترسی ADB به RatHat اجازه می‌دهد تا یک ایجنت مبتنی بر زبان Go (با نام liblocal-service.so) نصب کند که دستورات را با امتیازات ADB shell اجرا کرده، محدودیت‌های باتری را دور می‌زند و پایداری خود را در سیستم حفظ می‌کند.

این ایجنت همچنین در صورت حذف یا توقف بدافزار، آن را بازیابی می‌کند و یک کانال پایداری مستقل از خود بدافزار ارائه می‌دهد. این پشتیبان‌گیری دوطرفه است؛ به این معنی که اگر ایجنت حذف شود، بدافزار آن را دوباره بازگردانی می‌کند.

دومین ایجنت (libmedia_codec.so) به عنوان یک کلاینت پروکسی معکوس FRP عمل کرده و یک تونل ارتباطی پایدار با مهاجم برقرار می‌کند.

این بدافزار برای سرقت اطلاعات حساب‌های کاربری، صفحات HTML جعلی را روی برنامه‌های بانکی و رمزارزی هدف قرار گرفته‌شده نمایش می‌دهد.

همچنین می‌تواند پیامک‌ها و اعلان‌ها (از جمله رمزهای یکبارمصرف) را رهگیری کرده، تغییرات متنی را ثبت کند، URLها را از نوار آدرس مرورگر استخراج نموده و پین‌کدها، رمزهای عبور و الگوهای بازگشایی قفل صفحه را برباید.

ناوبری هدایت‌شده با هوش مصنوعی

پژوهشگران گزارش می‌دهند که RatHat از یک موتور خودکارسازی رابط کاربری مبتنی بر هوش مصنوعی استفاده می‌کند. این موتور، ساختار Accessibility اندروید را به صورت زنده در قالب XML سریالایز کرده و به یک دستیار هوش مصنوعی پرطرفدار (که نام آن در گزارش ذکر نشده است) ارسال می‌کند.

سپس به این ابزار هوش مصنوعی وظایف زیر محول می‌شود:

• شناسایی مختصات مرکزی یک عنصر رابط کاربری مشخص
• تعیین متن واقعی نمایش‌داده‌شده روی صفحه برای یک عنصر
• ارائه دستورالعمل‌های ناوبری مانند 'SCROLL_DOWN' و موارد دیگر

این زیرسیستم مبتنی بر هوش مصنوعی باعث می‌شود خودکارسازی رابط کاربری در RatHat نسبت به اتوماسیون‌های مبتنی بر اسکریپت‌های ثابت سازگاری بیشتری داشته باشد و امکان ناوبری از راه دور را بدون نیاز به تعامل در لحظه اپراتورها فراهم کند.

به گفته محققان امنیتی: «RatHat از هوش مصنوعی برای ناوبری هوشمندانه و کنترل رابط کاربری دستگاه در لحظه استفاده می‌کند؛ موضوعی که باعث می‌شود عملیات آن بسیار سازگارتر شده و شناسایی آن توسط نرم‌افزارهای امنیتی نسبت به اتوماسیون‌های سنتی مبتنی بر اسکریپت دشوارتر باشد.»

بررسی‌ها نشان می‌دهد که RatHat به طور فعال با تلاش‌ها برای حذف برنامه مقابله می‌کند. این بدافزار با رهگیری صفحه تایید لغو نصب، فرایند را متوقف کرده و یک صفحه جعلی از Google Play حاوی پیام خطای ساختگی نمایش می‌دهد.

همچنین تکنیک‌های متعددی برای مقابله با تحلیل (anti-analysis) در این بدافزار تعبیه شده است؛ از جمله دستکاری در ساختار فایل APK، یک فایل مانیفست اندروید با حجم غیرعادی (۶۱ مگابایت) و دستورالعمل‌های نامعتبر DEX که همگی با هدف گیج کردن یا از کار انداختن ابزارهای تحلیلی طراحی شده‌اند.

کاربران اندروید هرگز نباید فایل‌های APK را از منابع خارج از Google Play دانلود کنند، مگر اینکه به طور کامل به ناشر اطمینان داشته باشند. همچنین باید از دادن مجوزهای Accessibility به برنامه‌ها خودداری کرده و دستگاه‌های خود را به طور منظم با Play Protect اسکن کنند.