كشف باحثو الأمن السيبراني عن برمجية خبيثة جديدة تحمل اسم RatHat يُعتقد أنها تُدار من قبل جهات تهديد صينية، وتتميز باستخدام نظام مدعوم بالذكاء الاصطناعي للتحكم في الأجهزة المصابة. تنتشر البرمجية عبر حملات Smishing (تصيّد عبر الرسائل النصية) وحملات Malvertising التي تقود المستخدمين إلى بوابات تنزيل طرف ثالث مزيفة. تبدأ العدوى عبر حزم APK خبيثة تعمل كـ”Dropper” لإطلاق الحمولة الرئيسية، مع دمج تقنيات مضادة للتحليل مثل:
- Container tampering لإخفاء الملفات.
- Manifest bomb لتعطيل أدوات التحليل الآلي.
- DEX bytecode poisoning لإفساد عملية التفكيك.
- Dual string-encryption لتشفير النصوص ومنع فكها بسهولة.
استغلال صلاحيات النظام وADB
بمجرد التثبيت، تستغل RatHat خدمات Accessibility لفتح خيارات المطور وتفعيل Wireless Debugging، ثم تستخرج رمز الاقتران الخاص بـ ADB (Android Debug Bridge). هذا يسمح لها بكسر حدود العزل التقليدية لتطبيقات أندرويد، وتشغيل خدمات مستقلة بصلاحيات Shell. حتى بعد إزالة التطبيق، يحتفظ المهاجمون بالوصول إلى الجهاز عبر خدمة محلية تتحقق من وجود البرمجية وتعيد تثبيتها إذا لم تُعثر عليها.
البنية المعمارية للبرمجية
تتكون RatHat من ثلاثة مكونات رئيسية:
- التطبيق الخبيث: للحصول على الأذونات الحرجة.
- وكيل Go Agent: يعمل كـ”liblocal-service.so”، ويتيح تنفيذ أوامر عبر صلاحيات Shell، إضافة إلى تسجيل ضغطات الشاشة (Keylogging) والتقاط بيانات المتصفح والرسائل النصية.
- عميل FRP Reverse Proxy: لإنشاء نفق آمن ومستمر مع خادم التحكم (C2) عبر الإنترنت، مما يمنح المهاجمين وصولًا مباشرًا إلى الجهاز.
دور الذكاء الاصطناعي في الهجمات
أحد الجوانب اللافتة هو استخدام RatHat لمساعد ذكاء اصطناعي توليدي شهير لتنفيذ مهام غير خبيثة ظاهريًا، مثل تحديد إحداثيات العناصر على الشاشة بصيغة JSON لتوجيه النقرات الاصطناعية، أو قراءة النصوص المعروضة من شجرة Accessibility، أو تنفيذ أوامر تنقل تلقائية مثل SCROLL_DOWN. هذا الدمج بين الذكاء الاصطناعي والهجمات السيبرانية يعكس تطورًا خطيرًا في أساليب التهديد.
قدرات إضافية وخطورة البرمجية
تستطيع RatHat:
- عرض طبقات مزيفة فوق التطبيقات الشرعية لسرقة بيانات الدخول.
- تسجيل الشاشة باستخدام MediaProjection API.
- اعتراض الرسائل النصية القصيرة.
- تجاوز محاولات التثبيت عبر طبقات خطأ مزيفة تحاكي متجر Google Play.
- جمع كلمات المرور، بيانات التطبيقات، ملفات النظام، وحتى رموز القفل والنمط.
