Android korisnicima preti novi malver koji može da preuzme administratorsku kontrolu nad telefonom i ukrade gotovo sve što se pojavi na ekranu. Još gore, kada se jednom potpuno instalira, obično brisanje zaražene aplikacije nije dovoljno da ga uklonite.
Novi malver zove se RatHat, a otkrili su ga stručnjaci kompanije Zimperium. Napadači korisnike navode da preuzmu naizgled legitimnu aplikaciju, poput Google Chrome-a, sa lažne stranice koja imitira Google Play prodavnicu.
Nakon pokretanja, aplikacija od korisnika traži dozvole za pristupačnost. Upravo je njihovo odobravanje ključni trenutak napada, jer RatHat zatim može samostalno da se kreće kroz menije Android telefona.
Malver na ovaj način uključuje Wireless Debugging, legitimnu Android funkciju namenjenu programerima, a zatim sebi dodeljuje ADB Shell dozvole. Time praktično dobija administratorski pristup uređaju.
RatHat potom instalira AI agenta koji izvršava sistemske komande i krade podatke, kao i proxy klijent kojim ih šalje napadačima. Prema kompaniji Zimperium, tragovi vode do napadača iz Kine, a glavne mete su aplikacije poput WeChat Pay-a i Alipay-a.
Malwarebytes upozorava da mogu biti napadnute i druge finansijske aplikacije. Istraživači su do sada pronašli 162 zaražene aplikacije, koje komuniciraju sa desetak servera pod kontrolom napadača.
Posebno je opasno što korisnik možda neće odmah primetiti da nešto nije u redu. RatHat može neprimetno da radi u pozadini i beleži informacije koje se pojavljuju na ekranu.
To uključuje korisnička imena, lozinke i kodove za dvofaktorsku autentifikaciju. Malver može da presreće SMS poruke, ali i da beleži dodire ekrana, što mu omogućava da rekonstruiše PIN kodove i šablone za otključavanje telefona.
Brisanje aplikacije nije dovoljno
Prisustvo RatHat malvera moguće je otkriti antivirusnim skeniranjem. Malwarebytes navodi da njihov softver može relativno lako da prepozna pretnju, ali otkrivanje malvera ne znači da ga je jednako lako potpuno ukloniti.
RatHat instalira skrivene dodatne fajlove i može da menja svoje ponašanje uz pomoć AI sistema. Zbog toga standardna analiza i stavljanje zaražene aplikacije u karantin nisu dovoljni.
Ni deinstaliranje same aplikacije ne rešava problem. Skriveni fajlovi omogućavaju malveru da zadrži administratorski pristup i ponovo instalira zlonamernu aplikaciju.
Prema tvrdnjama stručnjaka, potpuno vraćanje telefona na fabrička podešavanja jedini je način da se RatHat potpuno ukloni sa zaraženog uređaja.
Dobra vest je da napad može da se zaustavi pre nego što RatHat dobije kontrolu. Ne otvarajte linkove iz SMS poruka i imejlova nepoznatih pošiljalaca, a aplikacije preuzimajte direktno iz zvanične Google Play prodavnice.
Posebno budite oprezni ako stranica traži da ponovo instalirate Google Chrome ili neku drugu aplikaciju koju već imate. Lažnu Google Play prodavnicu možete prepoznati i po adresnoj traci pregledača, koju prava aplikacija nema.
Najvažnija linija odbrane ipak su dozvole za pristupačnost. Čak i ako preuzmete zlonamernu aplikaciju, RatHat ostaje uglavnom nemoćan sve dok mu ne omogućite napredne sistemske privilegije.