RatHat na Androidzie nadużywa ADB, by zachować dostęp do powłoki po odinstalowaniu

Badacze Zimperium Gianluca Braga, Vishnu Pratapagiri i Fernando Ortega opisali nowe złośliwe oprogramowanie na Androida o nazwie RatHat. Według ich oceny obsługują je grupy z Chin. RatHat łączy nadużycie usług dostępności z samodzielnym parowaniem lokalnego ADB (Android Debug Bridge). Dzięki temu wychodzi poza piaskownicę aplikacji i uruchamia własne procesy z uprawnieniami powłoki. The Hacker News podaje, że dostęp do powłoki zostaje także po odinstalowaniu aplikacji. Zainfekowanymi urządzeniami steruje system oparty na sztucznej inteligencji.

RatHat trafia na telefony przez ukierunkowane SMS-y phishingowe, złośliwe reklamy i fora, które prowadzą do fałszywych portali z plikami APK. Pobrany pakiet uruchamia główny ładunek i utrudnia analizę czterema technikami: manipulacją archiwum, wadliwymi nagłówkami w pliku AndroidManifest.xml, celowo uszkodzonym kodem DEX oraz podwójnym szyfrowaniem ciągów znaków.

Do infekcji dochodzi po instalacji pliku APK z portalu innego niż oficjalny sklep, na który prowadzi link z SMS-a, reklamy lub forum.