گزارش‌های اخیر شرکت امنیتی Zimperium از کشف یک تروجان جدید برای سیستم‌عامل اندروید با نام RatHat خبر داده است. این بدافزار برای اولین بار از قابلیت‌های هوش مصنوعی مولد (Generative AI) استفاده می‌کند تا بتواند با دقت و هوشمندی بیشتری در رابط کاربری دستگاه‌های قربانی پیمایش کرده و آن‌ها را کنترل کند.
روش‌های توزیع و زنجیره عفونت
بدافزار RatHat از طریق حملات Smishing (پیامک‌های فیشینگ) و Malvertising (تبلیغات مخرب) منتشر می‌شود. این تروجان از یک خط لوله عفونت چندمرحله‌ای و خودکار استفاده می‌کند تا بتواند از محیط ایزوله یا Sandbox اپلیکیشن‌های اندروید خارج شده و دسترسی در سطح Shell را به دست آورد.
قابلیت‌های فنی و مکانیزم‌های سرقت داده
این بدافزار علاوه بر قابلیت‌های رایج بدافزارهای موبایلی، از متدهای پیشرفته‌تری برای جاسوسی استفاده می‌کند:
- سرقت اعتبارسنج‌ها: تقلید از اپلیکیشن‌های بانکی و پرداخت برای سرقت نام کاربری، رمز عبور و کدهای دسترسی.
- مانیتورینگ سخت‌افزاری: نظارت بر ورودی‌های کاربر در سطح سخت‌افزار برای بازسازی PIN کدها، رمزهای عبور و الگوهای امنیتی (Patterns).
- دسترسی‌های مدیریتی: دریافت مجوزهای Administrator برای دسترسی به توابع سیستمی و نصب یک سرویس مخفی در پس‌زمینه جهت بازگردانی خودکار دسترسی‌ها و نصب مجدد در صورت حذف.
نقش هوش مصنوعی در عملیات RatHat
ویژگی متمایز RatHat، ارتباط آن با یک دستیار هوش مصنوعی مولد است. این بدافزار درخت دسترسی‌پذیری (Accessibility tree) دستگاه را به فرمت XML تبدیل کرده و برای AI ارسال می‌کند. هوش مصنوعی با تحلیل محتوا و چیدمان صفحه، به بدافزار کمک می‌کند تا به صورت خودکار با رابط کاربری تعامل داشته باشد و عملیات پیچیده را بدون دخالت مستقیم اپراتور اجرا کند.
معماری فنی و اجزای سیستم
ساختار این بدافزار از سه بخش اصلی تشکیل شده است:
- اپلیکیشن اندرویدی: مسئول دریافت مجوزهای سیستمی، ایجاد رابط کاربری جعلی (WebView overlay) و رهگیری پیامک‌ها.
- عامل Go (Go Agent): مغز عملیاتی که پس از دسترسی به Shell از طریق ADB daemon اجرا می‌شود و وظیفه مدیریت دستورات C&C و ایجاد تداوم (Persistence) در سیستم را بر عهده دارد.
- کلاینت FRP: یک Reverse-proxy کلاینت که تونلی امن و پایدار برای دسترسی مهاجمان به ADB daemon ایجاد می‌کند.
مکانیزم‌های پیشرفته Keylogging
RatHat از سه روش برای ثبت کلیدهای فشار داده شده استفاده می‌کند: نظارت بر رویدادهای تغییر متن در Accessibility Services، خواندن نوار آدرس مرورگرها و استفاده از ابزار getevent در محیط Shell برای استخراج مختصات دقیق لمس صفحه نمایش و تطبیق آن با چیدمان کیبورد.
