Novi Android malver RatHat koristi AI za upravljanje zaraženim telefonom

Mobilni telefoni, 22.09.2026, 09:00 AM

Istraživači kompanije Zimperium otkrili su Android trojanca RatHat koji koristi veštačku inteligenciju da odlučuje šta će uraditi na zaraženom telefonu. Umesto da prati unapred definisan niz koraka, malver AI sistemu prosleđuje informacije o onome što se nalazi na ekranu, a on određuje gde treba kliknuti ili skrolovati. RatHat može da krade podatke za prijavljivanje, jednokratne kodove, PIN-ove i šablone za otključavanje, a njegov mehanizam za opstanak na uređaju može da preživi čak i uklanjanje zlonamerne aplikacije.

Napad počinje SMS phishing porukama (smishing) ili zlonamernim oglasima koji vode do lažnih stranica za preuzimanje aplikacija. Zlonamerna aplikacija može da se predstavlja kao popularni servis za striming ili čak kao Chrome, a korisnik mora sam da instalira APK fajl izvan Google Play prodavnice.

Nakon instalacije aplikacija pokušava da ubedi korisnika da joj omogući pristup Androidovom Accessibility servisu, na primer lažnim upozorenjem o ograničenju mreže ili obećanjem novčane nagrade.

Accessibility je namenjen korisnicima kojima je potrebna pomoć pri korišćenju uređaja, ali aplikaciji kojoj je odobren ovaj pristup omogućava da vidi sadržaj ekrana i izvršava radnje u drugim aplikacijama. RatHat to koristi kao prvi korak ka znatno većoj kontroli nad telefonom.

Malver zatim bez znanja korisnika prolazi kroz Developer Options, uključuje Wireless Debugging i sa ekrana čita šestocifreni kod potreban za povezivanje. Na taj način praktično povezuje telefon sam sa sobom koristeći Android Debug Bridge (ADB), legitimnu Android funkciju koju programeri koriste za komunikaciju sa uređajem i testiranje aplikacija.

Dobijeni ADB pristup RatHat koristi da na uređaj postavi dodatne programe. Jedan od njih izvršava sistemske komande sa većim privilegijama, dok drugi uspostavlja trajnu vezu sa serverom napadača.

Ono po čemu se RatHat posebno izdvaja jeste način na koji koristi AI. Sistem dobija informacije iz Androidovog Accessibility servisa o elementima koji se trenutno nalaze na ekranu i na osnovu njih odlučuje gde malver treba da klikne, skroluje ili koju radnju da izvrši sledeću.

Tako RatHat može da se prilagođava različitim ekranima i situacijama umesto da zavisi od unapred definisanog scenarija. Zimperium navodi da promenljiva putanja napada može dodatno otežati njegovo otkrivanje bezbednosnim alatima koji se oslanjaju na poznate obrasce ponašanja.

Za krađu podataka za prijavljivanje RatHat prikazuje lažne ekrane preko legitimnih aplikacija, uglavnom ciljajući finansijske aplikacije. Na taj način može da presretne korisnička imena i lozinke, ali i jednokratne lozinke i kodove za višefaktorsku autentifikaciju.

Još neobičniji je način na koji pokušava da ukrade PIN ili šablon za otključavanje telefona. Umesto da čita ono što je prikazano na ekranu, malver beleži sirove koordinate mesta na kojima korisnik dodiruje ekran. Te podatke zatim poredi sa poznatim rasporedima numeričkih tastatura i šablona za otključavanje kako bi rekonstruisao PIN ili šablon za otključavanje koji je korisnik uneo.

RatHat može i da presreće SMS poruke i omogući daljinsko upravljanje uređajem. Zimperium je pronašao i mehanizam koji omogućava da se zlonamerna aplikacija ponovo instalira pomoću skrivenog programa koji ostaje aktivan u pozadini čak i nakon što korisnik ukloni prvobitnu aplikaciju.

Zbog toga obično brisanje aplikacije nije dovoljno za potpuno uklanjanje RatHata. Istraživači preporučuju vraćanje zaraženog uređaja na fabrička podešavanja.

Ipak, napad zavisi od nekoliko koraka koje mora da napravi korisnik: da instalira APK fajl izvan zvanične prodavnice i aplikaciji omogući Accessibility pristup. Zbog toga Zimperium savetuje instaliranje aplikacija samo iz pouzdanih izvora i poseban oprez kada aplikacija bez jasnog razloga traži pristup Accessibility servisu.