Các nhà nghiên cứu tại zLabs thuộc hãng bảo mật Zimperium vừa phân tích một trojan mới trên Android mang tên RatHat với quy trình lây nhiễm tự động và phức tạp. Điểm mới nguy hiểm của mã độc này là trao quyền truy cập cây trợ năng cho một trợ lý AI trực tiếp để tự động quyết định thao tác chạm hoặc cuộn màn hình, thay vì tuân theo các kịch bản lập trình sẵn cố định.
Mã độc Android RatHat ứng dụng AI để đánh cắp thông tin nhạy cảm
ẢNH: CHỤP MÀN HÌNH MALWAREBYTE
Mã độc Android mới sử dụng AI để vượt qua các rào chắn bảo mật
Nạn nhân thường bị lừa cài đặt tệp APK độc hại qua tin nhắn giả mạo hoặc quảng cáo dẫn đến trang tải ngụy trang trình duyệt Chrome hay ứng dụng xem phim, sau đó bị ép cấp quyền dịch vụ trợ năng (Accessibility). Lợi dụng quyền này, RatHat âm thầm tự kích hoạt tính năng Wireless Debugging và đọc mã xác thực trên màn hình để thiết lập phiên Android Debug Bridge (ADB), giúp mã độc mở đường hầm vượt tường lửa mà không cần máy tính hỗ trợ.
Để chiếm đoạt tài khoản, RatHat tạo ra một màn hình giả mạo phủ trên các ứng dụng tài chính nhằm đánh cắp thông tin đăng nhập, mã OTP và mã xác thực đa yếu tố. Đáng chú ý, mã độc còn sở hữu khả năng ghi lại trực tiếp tọa độ ngón tay chạm trên màn hình từ trình điều khiển nhập liệu, rồi đối chiếu với cơ sở dữ liệu bố cục bàn phím để giải mã chính xác mã PIN và hình vẽ mở khóa, vô hiệu hóa hoàn toàn cơ chế chống đọc trộm màn hình.
Bên cạnh khả năng chặn tin nhắn SMS và trao quyền điều khiển thiết bị bán tự động cho AI, đường dẫn tấn công biến thiên của RatHat còn khiến các công cụ bảo mật di động truyền thống khó phát hiện. Thậm chí, trojan này còn có khả năng tự động khôi phục lại ứng dụng độc hại sau khi người dùng gỡ cài đặt nhờ một chương trình chạy ngầm ẩn giấu trong hệ thống.
Để phòng tránh, người dùng tuyệt đối không bật Developer Options, từ chối cấp quyền trợ năng bất thường và chỉ nên cài đặt ứng dụng từ kho chính thức như Google Play hoặc sử dụng chế độ Advanced Protection của Android.
Trong trường hợp thiết bị đã bị lây nhiễm RatHat, người dùng bắt buộc phải khôi phục cài đặt gốc để xóa bỏ triệt để mối đe dọa do cơ chế bám rễ dai dẳng của mã độc này.
Bình luận (0)