RatHat: Neue Android-Malware nutzt KI und stiehlt Banking-Zugangsdaten
Die Sicherheitsforscher von Zimperium zLabs haben mit RatHat eine ungewöhnlich weitreichende Android-Malware analysiert. Sie kombiniert Social Engineering, den Missbrauch von Bedienungshilfen, Android Debug Bridge (ADB) und generative KI. Ziel sind unter anderem Banking-Zugangsdaten, Einmalcodes und sogar Geräte-PINs.
RatHat wird nach Angaben der Forscher vor allem über Smishing-Nachrichten, manipulierte Werbung und gefälschte Download-Seiten verbreitet. Die Opfer müssen also zunächst selbst eine APK außerhalb eines vertrauenswürdigen App-Stores installieren.
Warum RatHat technisch auffällt
Nach der Installation versucht RatHat, den Nutzer zur Freigabe der Android-Bedienungshilfen zu bewegen. Anschließend kann die Schadsoftware die Oberfläche auslesen und bedienen. Besonders auffällig ist die automatische Aktivierung von Wireless Debugging: Die Malware liest den angezeigten Pairing-Code aus und koppelt sich selbst mit dem lokalen ADB-Dienst.
Damit erhält sie Möglichkeiten außerhalb der normalen App-Sandbox. Laut zLabs werden zusätzliche native Komponenten gestartet, die Befehle mit Shell-Rechten ausführen und einen dauerhaften Tunnel zum Angreifer aufbauen können.
KI steuert Teile der Bedienung
RatHat verwendet generative KI nicht nur zum Erstellen von Ködern. Die Malware übermittelt Informationen aus dem Accessibility-Baum der Oberfläche an einen KI-Dienst und lässt daraus unter anderem ableiten, wo getippt oder gescrollt werden soll. Dadurch kann sich die Automatisierung flexibler an unterschiedliche Bildschirmzustände anpassen als ein starrer Ablauf.
Für den eigentlichen Datendiebstahl nutzt RatHat mehrere Methoden. Gefälschte Overlays über Banking- und Bezahl-Apps sollen Logins abgreifen. Zusätzlich können SMS und damit Einmalcodes abgefangen werden. Besonders heikel: Eine native Komponente zeichnet rohe Touch-Koordinaten auf und gleicht sie mit bekannten PIN- und Muster-Tastaturen ab. So lassen sich Eingaben rekonstruieren, die für normale Apps nicht sichtbar wären.
So lässt sich das Risiko deutlich reduzieren
Der wichtigste Schutz ist vergleichsweise banal: Apps sollten nur aus vertrauenswürdigen Stores stammen. Eine normale App benötigt in der Regel weder Zugriff auf die Bedienungshilfen noch die Aktivierung von Entwickleroptionen oder Wireless Debugging. Werden solche Rechte ohne nachvollziehbaren Grund verlangt, ist das ein deutliches Warnsignal.
Android-Sicherheitsupdates bleiben ebenfalls wichtig. Wie schnell einzelne Schwachstellen ausgenutzt werden können, zeigt auch der jüngste aktiv ausgenutzte Pixel-Zero-Day.
Quelle: Zimperium zLabs.
