اكتشف باحثون في مختبرات Zimperium zLabs هذا التهديد، حيث قاموا بتحليل قدراته. يُذكر أن برنامج RatHat الخبيث يصل إلى المستخدمين عبر حملات إعلانية خبيثة، ورسائل نصية قصيرة، ومواقع تصيد احتيالي تُقدم ملفات APK خارج متجر جوجل بلاي.
بعد تثبيته، يحاول البرنامج الخبيث الحصول على صلاحيات الوصول إلى نظام أندرويد ، والتي يستخدمها لتنفيذ إجراءات تُمكّنه من التحكم الكامل بالجهاز. كما يقوم بتفعيل خيارات المطورين وتصحيح الأخطاء اللاسلكية للوصول إلى وحدة تحكم محلية بصلاحيات ADB، دون الحاجة إلى توصيل الهاتف فعليًا بجهاز كمبيوتر.
ثم يقوم برنامج RatHat بتثبيت وكيل قائم على لغة Go قادر على تنفيذ الأوامر بصلاحيات الوصول إلى واجهة سطر أوامر ADB. ويتضمن هذا المكون أيضًا آليات لتجاوز بعض قيود البطارية والحفاظ على وجود البرمجية الخبيثة على الجهاز.
يشمل التهديد أيضًا عميلًا آخر مسؤولًا عن إنشاء اتصال دائم مع المهاجمين. إضافةً إلى ذلك، يتميز هذا البرنامج الخبيث بمجموعة واسعة من الوظائف المصممة لسرقة المعلومات: إذ يستطيع RatHat عرض واجهات مزيفة لتطبيقات مصرفية وتطبيقات عملات رقمية لسرقة بيانات الاعتماد، واعتراض الرسائل النصية القصيرة والإشعارات، بما في ذلك رموز التحقق لمرة واحدة، واستخراج عناوين المواقع الإلكترونية التي يزورها الضحية.
كما يستطيع هذا البرنامج الخبيث تسجيل التغييرات النصية والحصول على معلومات حساسة مثل أرقام التعريف الشخصية وكلمات المرور وأنماط فتح الأجهزة.
يكمن الجانب الأكثر ابتكارًا في برنامج RatHat الخبيث في نظام التشغيل الآلي الخاص به. إذ يقوم هذا البرنامج بتحويل بنية إمكانية الوصول التي تمثل واجهة نظام أندرويد إلى بيانات XML، ثم يرسلها إلى أداة ذكاء اصطناعي. ومن خلال هذه المعلومات، يستطيع النظام تحديد عناصر معينة على الشاشة، وتحديد النصوص المعروضة عليها، وتقديم تعليمات للتنقل في الواجهة.
يُمكّن هذا المهاجمين من التحكم بالجهاز بمرونة أكبر بكثير من استخدام البرامج النصية الجامدة التي تقتصر على تنفيذ سلسلة محددة مسبقًا من الإجراءات.
علاوة على ذلك، يحاول برنامج RatHat جعل إزالته صعبة. فإذا حاول المستخدم إلغاء تثبيته، يمكنه اعتراض شاشة التأكيد وإلغاء العملية، ثم عرض واجهة مزيفة لمتجر جوجل بلاي مع رسالة خطأ مزعومة.
ليست هناك تعليقات:
إرسال تعليق