RadHat wurde von Zimperium-Sicherheitsexperten identifiziert. Diese Android-Malware zeichnet sich durch den Einsatz von KI zur adaptiven Automatisierung ihrer Abläufe aus.

Verbunden mit in China ansässigen Bedrohungsakteurenzielt es in erster Linie auf die Finanzinformationen der Benutzer ab, indem es Anmeldeinformationen, Passwörter und sogar doppelte Authentifizierungscodes abfängt.

Wieder über Barrierefreiheitsdienste

Angreifer verbreiten die Schadsoftware über SMS-Phishing-Kampagnen (Smishing), bösartige Werbung (Malvertising) oder gefälschte Download-Portale, die legitim aussehende Anwendungen anbieten.

Sobald das bösartige APK installiert ist, nutzt RatHat die Barrierefreiheitsdienste von Android aus, um sich selbst erweiterte Berechtigungen zu gewähren ohne Benutzerinteraktion.

Um die Analysetools zu vereiteln, weist Zimperium insbesondere auf eine imposante Manifest-Datei von 61 MB sowie auf die Einschleusung ungültiger Pseudoanweisungen in den Code hin, die von der Android-Runtime nie ausgeführt werden. Sie führen dazu, dass die Codezerlegung fehlschlägt.

KI-gestützte Banking-Malware

Die Architektur von RatHat basiert auf einer für den Benutzer sichtbaren bösartigen Android-Anwendung, einem Go-Sprachagenten, der mit erhöhten Berechtigungen arbeitet, und einem Fast Reverse Proxy (FRP)-Client, der einen dauerhaften Kommunikationstunnel zum Befehls- und Kontrollserver erstellt.

Eine Automatisierungsmaschine basiert auf KI. Die Malware erfasst die Struktur der Benutzeroberfläche in XML und sendet sie an einen „weltweit beliebtesten generativen KI-Assistenten“. „.

Die KI analysiert den Bildschirm und gibt Navigationsbefehle zurück, etwa die Koordinaten einer anzuklickenden Schaltfläche oder die Anweisung zum Scrollen der Seite. Aktionen sind schwieriger zu erkennen als mit herkömmlichen automatisierten Skripten.

Eine doppelte Beharrlichkeit

Wenn ein Benutzer versucht, die Anwendung zu deinstallieren, fängt RatHat den Bestätigungsdialog ab und zeigt eine gefälschte Fehlermeldung an. Mehr noch: Selbst wenn die Anwendung gelöscht wird, läuft der Go-Agent weiterhin im Hintergrund, außerhalb des Anwendungslebenszyklus, und kann die Malware aus der Ferne neu installieren.