Android-троян RedHat: ИИ научился управлять смартфоном и восстанавливаться после удаления
Следите за новостями по этой теме!
Подписаться на «Рифы и пачки / Твоя культура»
Исследователи Zimperium zLabs обнаружили новый вредоносный Android-инструмент RedHat. По их оценке, он имеет китайское происхождение и распространяется через сторонние магазины приложений, социальные сети, вредоносную рекламу и массовые SMS-рассылки.
Для работы RedHat запрашивает разрешения Android Accessibility — специальные возможности, предназначенные прежде всего для людей с ограничениями зрения и моторики. Получив такой доступ, вредоносная программа может видеть элементы интерфейса и выполнять действия на устройстве. Именно поэтому подобные разрешения особенно привлекательны для злоумышленников.
По своей основной функции RedHat является банковским трояном. Когда пользователь открывает банковское приложение, вредоносная программа создаёт невидимый поверх него слой. Через этот подменный интерфейс она может перехватывать логины, пароли и одноразовые коды подтверждения. В результате преступники получают возможность завладеть доступом к банковским аккаунтам жертв.
Однако главная особенность RedHat — встроенный ИИ-компонент. Он действует как удалённые «глаза и руки» трояна: вредоносная программа делает снимок происходящего на экране и отправляет его ИИ-ассистенту. Модель анализирует изображение, после чего подсказывает, какие действия выполнить дальше.
Раньше создателям банковских троянов приходилось заранее прописывать точные координаты кнопок и полей: где находится строка для пароля, куда нажимать для входа и так далее. Если разработчики банковского приложения меняли дизайн, такая автоматизация часто переставала работать. RedHat пытается обойти эту проблему: ИИ ориентируется на фактический вид экрана в реальном времени и адаптирует команды под интерфейс.
В Zimperium заявили, что ИИ позволяет RedHat гибче управлять устройством и затрудняет обнаружение со стороны защитного ПО по сравнению с традиционной автоматизацией, основанной на заранее заданных сценариях. При этом в исходном сообщении название вредоносной программы один раз ошибочно указано как RatHat; исследователи называют её RedHat.
У трояна есть и механизмы закрепления в системе. Он способен повторно устанавливать удалённые компоненты, а также перехватывать попытку деинсталляции. Пользователю при этом может показываться поддельное сообщение об ошибке, тогда как вредоносная программа отменяет удаление и продолжает работу.
Пока неизвестно, на кого именно нацелен RedHat и сколько устройств уже могли быть заражены. Пользователям Android стоит с особой осторожностью относиться к приложениям из сторонних магазинов, ссылкам из SMS и запросам на выдачу разрешений Accessibility. Установка программы из непроверенного источника в таком случае может превратить смартфон в послушный терминал для кражи банковского доступа.
PEREC.RU
Новый Android-троян RedHat сочетает классические методы банковского вредоносного ПО с ИИ для управления интерфейсом смартфона. Его обнаружили специалисты исследовательской группы Zimperium zLabs. Они считают, что инструмент может иметь китайское происхождение.
Распространение RedHat идёт через несколько каналов: сторонние магазины Android-приложений, социальные сети, вредоносные рекламные объявления и массовые SMS-рассылки. Для полноценной работы трояну необходимо разрешение Android Accessibility — набор специальных возможностей, который позволяет приложениям взаимодействовать с интерфейсом устройства и выполнять действия от имени пользователя.
После получения этого доступа RedHat ведёт себя как банковский троян. При запуске банковского приложения он создаёт невидимый слой поверх настоящего интерфейса. Через него вредоносная программа может перехватывать учётные данные: логины, пароли и одноразовые коды подтверждения. Эти сведения позволяют злоумышленникам получить контроль над банковскими аккаунтами жертв.
От других банковских троянов RedHat отличается встроенным ИИ-ассистентом. Вредоносная программа создаёт изображение того, что отображается на экране, и передаёт его модели. ИИ анализирует интерфейс и сообщает трояну, какие действия совершить дальше.
Традиционные банковские вредоносы работают по заранее заданным сценариям. Разработчики прописывают точные координаты полей и кнопок: где вводить пароль, где нажимать для входа и как переходить между экранами. Если банковское приложение меняет дизайн или расположение элементов, такой троян перестаёт работать. RedHat пытается решить эту проблему с помощью анализа экрана в реальном времени.
Zimperium сообщает, что ИИ делает управление устройством более адаптивным и может усложнить обнаружение вредоносной активности защитным программам по сравнению с автоматизацией, основанной на фиксированных командах. В тексте источника также встречается написание RatHat, однако основное название обнаруженной угрозы — RedHat.
Кроме кражи банковских данных, троян использует механизмы закрепления. Он может повторно устанавливать удалённые компоненты и вмешиваться в процесс удаления. При попытке деинсталляции RedHat способен отменить операцию и показать пользователю поддельное сообщение об ошибке. Владелец устройства может решить, что приложение удалено, хотя вредоносная программа продолжит работать.
На момент публикации не было данных о конкретных группах жертв или общем числе заражённых устройств. Пользователям Android рекомендуется избегать приложений из непроверенных источников, осторожно относиться к ссылкам и файлам из SMS и социальных сетей, а также не выдавать разрешение Accessibility программам, которым оно не требуется для заявленной функции.
