پژوهشگران zLabs در شرکت Zimperium یک تروجان (Trojan) جدید برای سیستم‌عامل اندروید شناسایی کرده‌اند که از یک فرآیند عفونی چندمرحله‌ای و خودکار استفاده می‌کند. ویژگی متمایز این بدافزار، بهره‌گیری از یک دستیار هوش مصنوعی (AI Assistant) است که به جای تکیه بر اسکریپت‌های سخت‌افزاری (Hardcoded)، دسترسی به Accessibility Tree دستگاه قربانی را در اختیار گرفته و به‌صورت پویا تصمیم می‌گیرد که در کجای صفحه کلیک یا اسکرول کند.
مکانیزم حمله و دور زدن ابزارهای امنیتی
به دلیل مسیرهای حمله متغیر که توسط AI مدیریت می‌شوند، شناسایی این بدافزار برای ابزارهای امنیتی مبتنی بر امضا (Signature-based) و قوانین ثابت (Rule-based) بسیار دشوار شده است. RatHat برای ارتقای سطح دسترسی، از ابزار قانونی Android Debug Bridge (ADB) سوءاستفاده می‌کند. این بدافزار با فعال‌سازی Wireless Debugging، قادر است از محیط ایزوله یا Sandbox اپلیکیشن‌ها خارج شود.
زنجیره عفونت و دسترسی‌های سطح بالا
- مهندسی اجتماعی: قربانیان از طریق پیامک‌های فیشینگ (Smishing) یا تبلیغات مخرب به صفحات جعلی هدایت شده وe APKهای آلوده را نصب می‌کنند.
- سوءاستفاده از Accessibility Service: اپلیکیشن با ارائه بهانه‌های جعلی، کاربر را مجبور به فعال‌سازی سرویس دسترسی‌پذیری می‌کند تا بتواند محتوای صفحه را بخواند و با برنامه‌ها تعامل داشته باشد.
- خود-جفت‌سازی (Self-Pairing): بدافزار به‌صورت خودکار وارد Developer Options شده، Wireless Debugging را فعال کرده و کد جفت‌سازی شش‌رقمی را از روی صفحه می‌خواند تا یک نشست ADB در سطح Shell ایجاد کند.
- استقرار باینری‌های مخرب: پس از دسترسی، دو فایل Native روی دستگاه قرار می‌گیرد؛ یک Agent مبتنی بر زبان Go برای اجرای دستورات سیستمی با دسترسی بالا و یک Reverse-proxy برای ایجاد تونل ارتباطی پایدار با سرور مهاجم جهت دور زدن Firewall و NAT.
روش‌های سرقت داده‌ها و پایداری
این تروجان برای سرقت اطلاعات بانکی از Overlayها (لایه‌های پوششی) استفاده می‌کند تا نام کاربری، رمز عبور و حتی کدهای OTP و MFA را استخراج کند. یکی از قابلیت‌های نوآورانه RatHat، ثبت مختصات لمس صفحه (Touch Coordinates) مستقیماً از درایور ورودی است. بدافزار با تطبیق این مختصات با دیتابیس صفحه‌کلیدها، قادر است PINها و الگوهای بازگشایی قفل (Pattern Lock) را بازسازی کند.
همچنین این بدافزار قابلیت رهگیری پیامک‌ها و بازگرداندن خود پس از حذف (Persistence) را از طریق یک برنامه پس‌زمینه مخفی دارد.
توصیه‌های امنیتی برای مدیران و کاربران
برای مقابله با این تهدید، توصیه‌های زیر حیاتی است:
- فقط از Google Play یا فروشگاه‌های رسمی اقدام به نصب اپلیکیشن کنید.
- از فعال‌سازی Accessibility Service برای برنامه‌هایی که دلیل منطقی برای این دسترسی ندارند، خودداری کنید.
- استفاده از Advanced Protection Mode گوگل برای محدود کردن درخواست‌های دسترسی‌پذیری.
- عدم فعال‌سازی Developer Options و Wireless Debugging مگر در موارد ضروری و فنی.
- در صورت عفونت، به دلیل مکانیزم پایداری بالا، تنها راهه موثر Factory Reset دستگاه است.
