Na urządzeniach z Androidem pojawiło się nowe zagrożenie o nazwie RatHat. Malware jest rozpowszechniany m.in. przez wiadomości SMS, reklamy i fałszywe strony zachęcające do pobrania aplikacji APK. Po instalacji może przejmować dane logowania do bankowości, kody jednorazowe oraz informacje potrzebne do autoryzacji płatności.
RatHat zwraca uwagę również dlatego, że wykorzystuje mechanizmy oparte na AI do części działań wykonywanych na zainfekowanym urządzeniu. Nie oznacza to jednak, że „sztuczna inteligencja włamuje się do telefonu”. Najważniejszy pozostaje pierwszy etap ataku: użytkownik zostaje nakłoniony do zainstalowania aplikacji spoza zaufanego źródła i przyznania jej niebezpiecznych uprawnień.
Co potrafi RatHat?
Po instalacji malware może wyświetlać fałszywe ekrany przypominające aplikacje bankowe i płatnicze. W ten sposób przestępcy próbują zdobyć login, hasło czy PIN. RatHat potrafi również przechwytywać kody OTP i 2FA.
Szczególnie interesujące jest połączenie dwóch mechanizmów Androida: usług ułatwień dostępu oraz debugowania przez ADB. Same w sobie są to legalne i przydatne funkcje systemu. Problem zaczyna się wtedy, gdy dostęp do nich otrzyma złośliwa aplikacja.
| Funkcja Androida | Do czego służy normalnie? | Co powinno wzbudzić podejrzenie? |
|---|---|---|
| Ułatwienia dostępu | Pomoc osobom z niepełnosprawnościami, automatyzacja niektórych czynności | Nieznana aplikacja żąda możliwości obserwowania ekranu i wykonywania działań w imieniu użytkownika |
| Debugowanie bezprzewodowe | Testowanie i tworzenie aplikacji przez programistów | Aplikacja niezwiązana z programowaniem prosi o jego włączenie |
| Instalowanie APK | Ręczna instalacja aplikacji spoza Google Play | Link do APK przysłany SMS-em, w reklamie albo na przypadkowej stronie |
| Dostęp do SMS-ów i powiadomień | Potrzebny niektórym komunikatorom i narzędziom | Prosta aplikacja żąda dostępu do kodów przychodzących z banku |
Dwie rzeczy, które warto sprawdzić na telefonie
Jeżeli instalowałeś ostatnio aplikację z pliku APK albo z linku otrzymanego w wiadomości, warto zajrzeć do ustawień Androida.
Pierwsze miejsce to zazwyczaj:
Ustawienia → Ułatwienia dostępu → Zainstalowane aplikacje / Usługi
Nazwy mogą różnić się zależnie od producenta telefonu. Jeżeli widzisz tam aktywną usługę należącą do aplikacji, której nie rozpoznajesz, warto sprawdzić, skąd program pochodzi.
Drugie miejsce — jeżeli masz włączone opcje programistyczne — to:
Ustawienia → Opcje programisty → Debugowanie bezprzewodowe
Większość zwykłych użytkowników nie potrzebuje tej funkcji włączonej na co dzień.
Jeśli podejrzewasz, że telefon został zainfekowany, sprawdź jak usunąć trojana z telefonu. Poradnik opisuje kolejne kroki sprawdzania aplikacji i zabezpieczania urządzenia.
Samo AI nie jest tutaj największym problemem
Najciekawszym technicznie elementem RatHat jest zastosowanie AI, ale z punktu widzenia użytkownika ważniejsza jest inna lekcja. Malware nadal musi znaleźć drogę na urządzenie.
Najbardziej skuteczną ochroną pozostaje więc niewgrywanie przypadkowych APK, szczególna ostrożność wobec linków otrzymywanych SMS-em oraz zwracanie uwagi na aplikacje proszące o uprawnienia zupełnie niepasujące do ich funkcji.
Jeżeli otworzyłeś już taki odnośnik, sprawdź co zrobić po kliknięciu podejrzanego linku. Dalsze postępowanie zależy od tego, czy tylko odwiedziłeś stronę, podałeś dane, czy również zainstalowałeś aplikację.
Nie ma też powodu zakładać, że każda aplikacja korzystająca z ułatwień dostępu jest złośliwa. To bardzo ważny element Androida. Ostrzeżeniem powinno być przede wszystkim połączenie kilku nietypowych zachowań: instalacji spoza sklepu, nieznanego pochodzenia aplikacji oraz żądania bardzo szerokiego dostępu do telefonu.
