یک تروجان بانکی جدید برای اندروید به نام RATHat شناسایی شده است که نشان می‌دهد چگونه می‌توان از هوش مصنوعی مولد (Generative AI) در داخل بدافزارهای موبایلی برای عملیاتی کردن حملات استفاده کرد.
مکانیسم سرایت و دسترسی سطح بالا
این بدافزار ابتدا خود را به عنوان برنامه‌های کاربردی قانونی معرفی کرده و با استفاده از مهندسی اجتماعی (Social Engineering)، کاربر را متقاعد می‌کند تا سرویس‌های دسترسی‌پذیری اندروید (Android Accessibility Services) را فعال کند. پس از کسب این دسترسی، RATHat مراحل زیر را طی می‌کند:
- فعال‌سازی خودکار Developer Options و Wireless Debugging.
- استخراج کد جفت‌سازی (Pairing Code) مربوط به ADB از روی صفحه نمایش.
- اتصال به ADB daemon دستگاه برای دستیابی به دسترسی‌های سطح Shell با شناسه کاربر UID 2000.
این معماری به بدافزار اجازه می‌دهد تا یک سرویس مبتنی بر زبان Go را در مسیر /data/local/tmp مستقر کرده و از طریق یک کلاینت FRP، تونلی معکوس (Reverse Tunnel) به زیرساخت مهاجم ایجاد کند. این وضعیت باعث می‌شود حتی در صورت حذف APK بدافزار، عامل Go همچنان فعال بماند و بتواند برنامه را مجدداً نصب کرده یا تنظیمات دسترسی‌پذیری را بازیابی کند.
نقش هوش مصنوعی Gemini در دور زدن محدودیت‌ها
یکی از نوآوری‌های RATHat، استفاده از مدل‌های Gemini Flash برای حل مشکل پراکندگی (Fragmentation) در دستگاه‌های اندرویدی است. تروجان‌های بانکی سنتی بر اساس لوکیتورهای رابط کاربری (UI Locators) ایستا عمل می‌کنند که در نسخه‌های مختلف اندروید یا پوسته‌های مختلف سازندگان (OEM Skins) شکست می‌خورند.
RATHat درخت رابط کاربری (UI Tree) را به صورت XML سریالیزه کرده و به Gemini ارسال می‌کند تا مدل هوش مصنوعی موارد زیر را انجام دهد:
- شناسایی کنترل‌های خاص در صفحه.
- بازگرداندن مختصات صفحه به صورت JSON.
- تحلیل متن‌های قابل مشاهده و ارائه توصیه‌های لازم برای پیمایش (Navigation) در منوها.
مدیریت هوشمند قربانیان و مدل MaaS
بهره‌برداری از AI تنها به دستگاه قربانی محدود نمی‌شود. پنل مدیریت این بدافزار (که احتمالاً از BlackCat به Panda Workshop تغییر نام داده است) از هوش مصنوعی برای تحلیل پیام‌های SMS سرقت شده استفاده می‌کند تا ارزش مالی قربانیان را تخمین زده و آن‌ها را در دسته‌های «ارزش بالا» یا «ارزش متوسط» طبقه‌بندی کند.
همچنین این زیرساخت قابلیت ساخت، بسته‌بندی و امضای APKهای جدید را دارد تا با تغییر مداوم هش (Hash) فایل‌ها، سیستم‌های شناسایی مبتنی بر امضا را دور بزند. شواهد نشان می‌دهد که این بدافزار احتمالاً تحت مدل Malware-as-a-Service (MaaS) توزیع می‌شود.
توصیه‌های امنیتی برای تیم‌های SOC
برای مقابله با این تهدید، مانیتورینگ باید فراتر از شناسایی امضای APKها باشد. شاخص‌های خطر (Indicators) عبارتند از:
- فعال‌سازی غیرمنتظره Accessibility Services و Wireless Debugging.
- فعالیت‌های جفت‌سازی ADB محلی.
- اجرای پروسه‌های Shell تحت UID 2000.
- وجود فایل‌های باینری مشکوک در مسیر
/data/local/tmp. - اتصالات Reverse-Proxy خروجی غیرعادی.
