یک گونه جدید از بدافزارهای اندرویدی به نام RatHat شناسایی شده است که با استفاده از هوش مصنوعی مولد (Generative AI)، قادر است دستگاه‌های عفونی شده را به‌صورت Real-time کنترل و هدایت کند. طبق گزارش شرکت امنیتی Zimperium، این تهدید توسط بازیگرانی هدایت می‌شود که احتمالاً در چین مستقر هستند.
تغییر پارادایم: از اسکریپت‌های ثابت به هوش مصنوعی
برخلاف تهدیدات متداول موبایلی که بر پایه اسکریپت‌های از پیش تعریف شده عمل می‌کنند، RatHat ساختار Accessibility tree دستگاه را به فرمت XML تبدیل کرده و به یک دستیار AI ارسال می‌کند. این هوش مصنوعی پس از تحلیل، مختصات دقیق صفحه، متون موجود و دستورات ناوبری (مانند Scrolling) را برای کنترل دستگاه بازمی‌گرداند.
مکانیزم‌های سرقت داده و فریب کاربر
- HTML Overlays: این بدافزار از لایه‌های WebView برای ایجاد رابط‌های کاربری جعلی روی اپلیکیشن‌های بانکی و کریپتو استفاده می‌کند تا اعتبارنامه‌های (Credentials) کاربران را سرقت کند.
- هدف‌گیری اپلیکیشن‌های پرداخت: برنامه‌هایی مانند WeChat و Alipay برای سرقت PIN هدف قرار می‌گیرند.
- دور زدن 2FA: با استفاده از SMS receiver و Notification listener، کدهای OTP و تایید دو مرحله‌ای را رهگیری می‌کند.
تحلیل فنی و متدهای پیشرفته دور زدن امنیت
RatHat از لایه‌های متعددی برای ضد-تحلیل (Anti-analysis) و ضد-دیباگ (Anti-debugging) استفاده می‌کند. پس از دریافت دسترسی Accessibility، این بدافزار بخش Developer Options را باز کرده و Wireless Debugging را فعال می‌کند. سپس با استفاده از یک کتابخانه ADB داخلی، به سرویس ADB محلی گوشی متصل می‌شود.
این دسترسی منجر به اجرای دو فایل باینری نوشته شده با زبان Go می‌شود: یک Agent کنترل محلی و یک کلاینت FRP reverse-proxy. Agent مذکور با دسترسی سطح Shell اجرا شده و قابلیت‌هایی را به دست می‌آورد که برای اپلیکیشن‌های معمولی در محیط Sandbox اندروید غیرممکن است.
دور زدن FLAG_SECURE و پایداری در سیستم
یکی از پیچیدگی‌های این بدافزار، استفاده از ابزار getevent اندروید برای خواندن مختصات خام لمس از مسیر /dev/input/ است. RatHat با تطبیق این مختصات با چیدمان کیپد دستگاه، قادر است PIN و الگوهای بازگشایی (Unlock Patterns) را بازسازی کند. این روش باعث می‌شود بدافزار حتی در صورت فعال بودن FLAG_SECURE (که مانع از اسکرین‌شات می‌شود)، بتواند اطلاعات را استخراج کند.
برای حفظ پایداری (Persistence)، RatHat در هنگام تلاش کاربر برای حذف، یک پیام خطای جعلی از Google Play نمایش می‌دهد. همچنین، سرویس محلی مستقل آن می‌تواند نبود اپلیکیشن را تشخیص داده و مجدداً APK را نصب کرده و دسترسی‌های Runtime و تنظیمات Accessibility را از طریق دستورات Shell بازیابی کند.
