Zimperium zLabs araştırmacıları, ele geçirilen cihazlarda operatörlerin uzaktan gezinmesine yardımcı olan yapay zekâ destekli bir alt sistem kullanan RatHat adlı yeni bir Android zararlı yazılım ailesini analiz etti. Araştırmacılar, Çince yazılmış büyük dil modeli istemleri bulduktan sonra zararlının Çin'deki tehdit aktörleriyle bağlantılı olabileceğine inanıyor.
RatHat; kötü amaçlı reklamlar, SMS mesajları ve Google Play dışından APK indirmeyi teşvik eden kimlik avı siteleriyle dağıtılıyor. Ayrıcalıklı işlemler gerçekleştirmek için Android Accessibility izinlerini kötüye kullanıyor, Developer Options ile Wireless Debugging'i etkinleştiriyor ve harici bir bilgisayar gerektirmeden yerel kabuk düzeyinde çalıştırma ortamı oluşturuyor. ToxicPanda ve RedHook'ta da benzer mekanizmalar görülmüştü.
Go tabanlı liblocal-service.so aracısı ADB kabuk ayrıcalıklarıyla komut çalıştırıyor, pil kısıtlamalarını aşıyor ve kalıcılığı sürdürüyor. Zararlı yazılım kaldırılır veya durdurulursa aracıyı, aracı da zararlı yazılımı geri yükleyebiliyor. Diğer bir aracı olan libmedia_codec.so saldırgana kalıcı bir FRP ters proxy tüneli açıyor.
RatHat, kimlik bilgilerini ele geçirmek için bankacılık ve kripto para uygulamalarını hedefleyen HTML katmanları gösteriyor. SMS mesajlarını ve bildirimleri, tek kullanımlık parolalar da dahil olmak üzere, yakalayabiliyor; tarayıcı URL'lerini çıkarabiliyor ve kilit ekranı PIN'lerini, parolalarını ve açma desenlerini ele geçirebiliyor.
Zimperium, zararlının canlı Android Accessibility ağacını XML'e dönüştürüp adı açıklanmayan popüler bir yapay zekâ asistanına gönderdiğini belirtiyor. Araştırmacılar ayrıca kaldırma işleminin engellenmesini, sahte Google Play hata katmanını, APK kurcalamasını, 61MB boyutunda şişirilmiş manifest dosyasını ve analizi zorlaştırmak için kullanılan geçersiz DEX sözde talimatlarını gözlemledi.
Yorumlar
0Henüz yorum yok. İlk yorumu siz yazın.