RatHat Android-Malware behält Shell-Zugriff nach Deinstallation

Eine Android-Malware namens RatHat kann sich laut Forschung des Mobile-Security-Unternehmens Zimperium auf einem Telefon halten, selbst nachdem die App gelöscht wurde. Die Forscher des Unternehmens, Gianluca Braga, Vishnu Pratapagiri und Fernando Ortega, beschreiben Malware, die vermutlich von in China ansässigen Bedrohungsakteuren betrieben wird und ein künstliches Intelligenzsystem enthält, um kompromittierte Geräte zu navigieren und zu steuern. Was den Fall herausragen lässt, ist der Trick, der den Eindringling drinnen hält: RatHat missbraucht ADB, die Android Debug Bridge, das Standard-Debugging-Tool, mit dem ein Computer mit einem Android-Telefon kommunizieren kann, sodass ein versteckter Dienst verbunden bleiben kann, nachdem die sichtbare App verschwunden ist.

Die Malware erreicht Opfer über gezieltes Smishing, der technische Name für Textnachrichten-Phishing, und über Malvertising, also bösartige Werbung, die beide zu betrügerischen Download-Portalen von Drittanbietern führen. Zimperium nennt auch Foren von Drittanbietern als Verbreitungskanal. In jedem Fall ist das Ziel dasselbe: jemanden dazu zu bringen, eine APK zu installieren, das Installationsdateiformat, das Android verwendet und das die Malware enthält. Diese Pakete fungieren als Dropper, eine kleine erste Stufe, deren einzige Aufgabe es ist, die eigentliche Nutzlast zu starten, und sie enthalten Schichten von Anti-Analyse- und Anti-Debug-Prüfungen, die verhindern sollen, dass sie entdeckt werden.

Zimperium listet vier in diese Pakete eingebaute Anti-Analyse-Techniken auf. Container-Manipulation erklärt bestimmte Dateien zu Verzeichnissen oder setzt das ZIP-Allzweck-Verschlüsselungs-Bit-Flag auf sie, sodass Androids eigene libziparchive-Bibliothek diese Dateien ignoriert, während andere Tools wie unzip und apktool sie weiterhin sehen. Eine Manifest-Bombe fügt undokumentierte 0x9999-Chunk-Header in AndroidManifest.xml ein, die Datei, die eine App dem Betriebssystem beschreibt; Androids native Laufzeit überspringt die zusätzlichen Daten, aber automatisierte Analyse-Pipelines stürzen ab oder laufen in Zeitüberschreitungen. DEX-Bytecode-Vergiftung fügt Pseudo-Anweisungen hinzu, die mit einem ungültigen element_width-Attribut konfiguriert sind, was den Disassemblierungsprozess fehlschlagen lässt. Doppelte String-Verschlüsselung beruht auf einem Schema, das die Forscher StringCrypto nennen: Base64, um Analyse zu widerstehen.

RatHats Architektur hat drei Hauptkomponenten: die bösartige Android-Anwendung, einen Go Agent und einen FRP-Reverse-Proxy-Client. Die Android-App ist der Einstiegspunkt. Sie fungiert als Kanal, um kritische Systemberechtigungen zu erlangen und die nächste Phase zu starten, indem sie zuerst Berechtigungen für Barrierefreiheitsdienste erhält, die Android-Funktionen, die Menschen mit Behinderungen bei der Bedienung ihrer Telefone helfen sollen, aber mächtig genug sind, um zu lesen und zu handeln, was auf dem Bildschirm ist, und dann diesen Zugriff missbraucht, um Entwickleroptionen freizuschalten, Wireless Debugging einzuschalten und den sechsstelligen ADB-Kopplungscode zu extrahieren, der eine Debugging-Verbindung zum Gerät autorisiert.

Einmal laufend, zeigt die Malware Overlays über bestimmten Apps an, um Anmeldeinformationen zu sammeln, zeichnet den Bildschirm über Androids MediaProjection-API auf, fängt SMS-Nachrichten ab und blockiert Installationsversuche, indem sie ein gefälschtes Fehler-Overlay anzeigt, das den Google Play Store imitiert. Selbst wenn das Opfer es schafft, sie zu deinstallieren, behält der Angreifer Shell-Zugriff, also die Fähigkeit, Befehle auf dem Gerät auszuführen, und Zimperium sagt, der Angreifer kann einen lokalen Dienst weaponisieren, um zu prüfen, ob die Malware noch installiert ist, und sie neu installieren, wenn sie nicht gefunden wird.

Der vom APK ausgeführte Go Agent tarnt sich als native Bibliothek namens liblocal-service.so, verwendet aber den über den lokalen ADB-Daemon erhaltenen Shell-Zugriff, um Befehle auszuführen, was es der Malware ermöglicht, Persistenz herzustellen und Energieverwaltungsausnahmen anzuwenden, damit das System sie weniger wahrscheinlich herunterfährt. Der FRP-Client seinerseits öffnet einen sicheren Reverse-Tunnel zu einem Command-and-Control-Server, dem Remote-Server, den ein Angreifer zur Verwaltung infizierter Maschinen verwendet. Ein Reverse-Tunnel ist eine ausgehende Verbindung vom Telefon, die offen bleibt und dem Betreiber den Zugriff ermöglicht.

Wie Zimperium es beschreibt, ruft der Go Agent die FRP-Tunnelkonfiguration vom Command-and-Control-Server ab, wodurch der FRP-Client einen persistenten, aktiven Reverse-Tunnel zum Betreiber aufbauen kann. Diese Verbindung gibt den Angreifern Zugriff auf den ADB-Daemon, den die Forscher als allgemeinen Weg ins Gerät charakterisieren, der alles transportieren kann, was der Betreiber will, unabhängig vom eigenen Funktionsumfang der Malware. Die vom Server gesendeten Befehle sind vielfältig und funktionsreich: Sammeln von SMS-Nachrichten, Anmeldeinformationen, Dateien, der Sperrbildschirm-PIN, Muster oder Passwort, Bildschirmaufnahmen, Tastenanschläge einschließlich URLs, die in die Adressleiste eines Browsers eingegeben werden, und die Liste der installierten Anwendungen. RatHat enthält auch einen Hardware-Keylogger, der vom Go Agent ausgeführt wird und Fingerdrücke auf dem Bildschirm aufzeichnen kann.

Das Element der künstlichen Intelligenz arbeitet auf diesen Fähigkeiten auf. Laut Zimperium serialisiert die Malware den Live-Accessibility-Baum des Geräts, die interne Karte von allem, was gerade auf dem Bildschirm angezeigt wird, in XML und sendet sie an einen der weltweit beliebtesten generativen KI-Assistenten. Die Forscher sagen, die KI wird für nicht bösartige Aktionen verwendet: Auflösen der Mittelpunktkoordinaten eines benannten Ziels auf dem Bildschirm als JSON, damit synthetische Taps darauf gerichtet werden können, Auflösen des tatsächlichen On-Screen-Textes eines Ziels aus dem XML und Signalisieren automatischer Navigationsbefehle wie SCROLL_DOWN.

Zimperiums Fazit ist, dass RatHats mehrstufige Architektur, seine Abhängigkeit von Daemons, die den App-Lebenszyklus überleben, und seine Verwendung von Echtzeit-Generative-AI-Entscheidungsschleifen veranschaulichen, warum traditionelle, signaturbasierte mobile Sicherheitskontrollen unzureichend sind. Für jeden, der ein Telefon besitzt oder Telefone für ein Unternehmen verwaltet, ist die praktische Botschaft, dass die sichtbare App nicht die ganze Infektion ist: Der Schutz, der hier zählt, ist die Verhinderung der Installation von vornherein und das Fernhalten von Androids Entwickler- und Debugging-Funktionen von unbekannter Software. Die Forscher haben ihre Ergebnisse veröffentlicht; sie haben nicht gesagt, dass diese Bedrohung gepatcht oder gestoppt wurde. Für Unternehmen, die Hilfe bei der Härtung der Telefone und Konten ihrer Mitarbeiter für die Arbeit wünschen, deckt AEU-I, unser sicherheitsorientierter IT-, Infrastruktur- und Beratungsservice, genau diese Art von Überprüfung ab, während die oben genannten alltäglichen Checks diejenigen bleiben, die diese spezielle Malware fernhalten.