Intelligente KI übernimmt die Kontrolle über Android-Handys

Die neue Malware RatHat verbreitet sich per SMS, gefälschter Werbung und Online-Phishing und zwingt Nutzer zur manuellen Installation einer APK-Datei außerhalb des offiziellen Google Play Stores. Ihr Hauptziel ist der Diebstahl von Bankdaten, Einmalpasswörtern (OTPs) und Zugangsdaten zu Kryptowährungen. Durch Missbrauch von Barrierefreiheitsdiensten aktiviert der Trojaner automatisch die Entwickleroptionen und das Over-the-Air-Debugging. Dadurch erhält er eine lokale, erhöhte Benutzeroberfläche, ohne dass eine physische Verbindung zum Computer erforderlich ist – ähnlich wie die bekannten Malware-Familien ToxicPanda und RedHook.

Nachdem der Trojaner Zugriff auf ADB erlangt hat, installiert er einen isolierten Go-Dienst namens liblocal-service.so. Dieser umgeht die Begrenzung des Akkuverbrauchs und gewährleistet die Systemstabilität, indem er sich selbst schützt und zusammen mit dem Hauptprogramm neu installiert. Eine weitere Komponente, libmedia_codec.so, fungiert als Reverse-Proxy-FRP-Client und stellt eine permanente Verbindung zu den Servern der Angreifer her. Um Daten zu stehlen, blendet der Trojaner HTML-Overlays ein, um Online-Banking-Logins abzufangen, liest SMS-Nachrichten, Benachrichtigungen, PIN-Codes, Bildschirmsperrmuster und sogar Webadressen aus dem Browser.

Das Hauptmerkmal des Trojaners ist die Nutzung künstlicher Intelligenz zur Steuerung der Benutzeroberfläche. Das System wandelt die Bildschirmstruktur in das XML-Format um und sendet sie an einen externen KI-Assistenten. Dieser erkennt präzise die Koordinaten der Schaltflächen, liest den Text und führt automatisch Befehle wie das Scrollen nach unten aus. Dadurch ist die Bedienung deutlich flexibler und schwerer erkennbar als bei älteren Skripten mit festen Koordinaten. Beim Versuch, den Trojaner manuell zu entfernen, fängt er das Bestätigungsfenster ab, bricht den Vorgang ab und zeigt eine gefälschte Fehlermeldung des Google Play Stores an.

Der grundlegende Schutz vor neuem Schadcode bleibt unverändert: Vermeidung nicht verifizierter APK-Dateien und Verwendung von Google Play Protect.