Ten trojan na Androida pyta czatbota, gdzie ma teraz dotknąć

Uprawnienie, na które trzeba uważać w telefonie z Androidem, to nie aparat ani mikrofon. To ułatwienia dostępu.

Zespół zLabs z Zimperium opublikował w tym tygodniu badanie nad RatHat, trojanem bankowym, którego operatorzy zdają się mówić po chińsku, a wszystko, co robi sprytnego, zaczyna się od tej jednej zgody. Gdy dostanie ułatwienia dostępu, RatHat po cichu włącza opcje programisty i debugowanie bezprzewodowe, a potem paruje się z interfejsem debugowania telefonu. Od tej chwili działa z uprawnieniami, jakich zwykła aplikacja nigdy nie dostaje. Nakłada fałszywe ekrany logowania na aplikacje bankowe, płatnicze i kryptowalutowe, w tym WeChat i Alipay. Czyta przychodzące SMS-y i powiadomienia razem z kodami jednorazowymi. Wyciąga adresy z paska przeglądarki i przechwytuje PIN albo wzór odblokowania.

Zauważono go przez automatyzację. Zamiast trzymać się sztywnego skryptu, RatHat bierze to, co jest akurat na ekranie, zamienia układ na XML i wysyła go do popularnego asystenta generatywnej sztucznej inteligencji, pytając po mandaryńsku, gdzie dotknąć i co zrobić dalej. W odpowiedzi dostaje współrzędne i polecenia w rodzaju SCROLL_DOWN. Trojan ze skryptem przewraca się, gdy tylko aplikacja przerysuje przyciski. Ten po prostu patrzy jeszcze raz.

Nic z tego nie pochodzi ze Sklepu Google Play. Przychodzi SMS-em, przez złośliwe reklamy i z obcych stron oferujących plik APK czegoś, czego szukaliście. Zostawienie wyłączonej instalacji z nieznanych źródeł i traktowanie każdej aplikacji proszącej o ułatwienia dostępu jako podejrzanej, o ile nie jest czytnikiem ekranu, zamyka drzwi. Zagrożone konta to w większości te same, których używacie na komputerze, a kontrola prywatności i kont w Tendvane pokaże, które z nich są zalogowane na waszej maszynie i jak dobrze są chronione.