RatHat Android Kötü Amaçlı Yazılımı, Kaldırıldıktan Sonra Bile Kabuk Erişimini Sürdürmek İçin ADB’yi Kötüye Kullanıyor

✨ Yazıyı özetle ve sesli okuDil TürkçeEnglishDeutschالعربية

Özet ve ses yapay zekâ tarafından oluşturulur; ses gerçek bir kişiye ait kayıt değildir. Ayrıntılar için yazının tamamını okuyun.

Siber güvenlik araştırmacıları, Çin merkezli tehdit aktörleri tarafından işletildiği değerlendirilen ve ele geçirilen cihazlarda gezinmek ve kontrol sağlamak için yapay zekâ (YZ) destekli bir sisteme sahip olan RatHat adlı yeni bir Android kötü amaçlı yazılımını tespit etti.

Zimperium araştırmacıları Gianluca Braga, Vishnu Pratapagiri ve Fernando Ortega, “Rat, öncelikle hedefli SMS/metin kimlik avı ve aldatıcı üçüncü taraf indirme portallarına yönlendiren kötü amaçlı reklam kampanyaları yoluyla dağıtılıyor ve otomatik çok aşamalı bir enfeksiyon hattı kullanıyor” açıklamasını yaptı .

“Dağıtıldıktan sonra, erişilebilirlik istismarını özerk yerel ADB (Android Debug Bridge) kendi kendine eşleştirme ile birleştirerek standart Android uygulama koruma alanından çıkar ve kabuk düzeyinde ayrıcalıklarla çalışan bağımsız yerel servisler oluşturur.”

RatHat, kötü amaçlı yazılım içeren APK’ları yüklemeye kandıran, kötü amaçlı reklamlar, SMS kimlik avı kampanyaları ve üçüncü taraf forumlar aracılığıyla tanıtılan aldatıcı kimlik avı siteleri üzerinden yayılır. Bu paketler, ana zararlı yazılımı başlatmak için bir yükleyici görevi görürken, tespit edilmeyi önlemek için analiz ve hata ayıklama karşıtı kontroller de içerir.

Kötü amaçlı yazılıma yerleştirilmiş dört analiz karşıtı teknik aşağıda listelenmiştir:

• Konteyner manipülasyonu, belirli dosyaları paket içinde dizin olarak tanımlamak veya bazı dosyalarda ZIP genel amaçlı şifreleme bit bayrağını ayarlayarak, bu dosyaların Android’in libziparchive kütüphanesi tarafından göz ardı edilmesini ancak unzip ve apktool gibi diğer araçlar tarafından göz ardı edilmemesini sağlamaktır.
• Manifest bombası, Android yerel çalışma zamanı tarafından atlanan, belgelenmemiş 0x9999 kod bloğu başlıklarını “AndroidManifest.xml” dosyasına yerleştirerek otomatik analiz işlem hatlarının çökmesine veya zaman aşımına uğramasına neden olan bir güvenlik açığıdır.
• DEX bayt kodu zehirlenmesi, sökme işleminin başarısız olmasına neden olacak şekilde geçersiz bir `element_width` özniteliğiyle yapılandırılmış sözde talimatları içerir.
• Çift dize şifreleme, analize karşı direnç sağlamak için StringCrypto: Base64 adı verilen bir şifreleme şeması kullanır.

Android kötü amaçlı yazılımının mimarisi üç ana bileşenden oluşur: kötü amaçlı Android uygulaması, bir Go Agent ve bir FRP ters proxy istemcisi. Android uygulaması, kritik sistem izinlerini elde etmek ve saldırının bir sonraki aşamasını başlatmak için bir kanal görevi görür; bu sayede erişilebilirlik hizmetleri izinlerini elde edebilir ve ardından Geliştirici Seçeneklerinin kilidini açmak, Kablosuz Hata Ayıklamayı etkinleştirmek ve 6 haneli ADB eşleştirme kodunu çıkarmak için bu izinleri kötüye kullanabilir.

Go Agent keylogging

Bu kötü amaçlı yazılım, kimlik bilgilerini toplamak, Android’in MediaProjection API’sini kullanarak ekran kaydı yapmak, SMS mesajlarını ele geçirmek ve Google Play Store’u taklit eden sahte bir hata mesajı göstererek yükleme girişimlerini geçersiz kılmak için belirli uygulamaların üzerine katmanlar yerleştirmek üzere donatılmıştır.

Ancak, mağdur kötü amaçlı yazılımı kaldırmayı başarsa bile, saldırgan cihaz üzerinde kabuk erişimini elinde tutmaya devam eder. Saldırgan, yerel hizmeti kullanarak kötü amaçlı yazılımın yüklü olup olmadığını kontrol edebilir ve bulunmazsa yeniden yükleyebilir.

Zimperium’un açıklamasına göre, “Kötü amaçlı yazılım, cihazın canlı Erişilebilirlik ağacını XML’e dönüştürüyor ve dünyanın en popüler Üretken Yapay Zeka asistanlarından biriyle iletişim kuruyor. Bu yapay zeka, kötü amaçlı olmayan eylemler için kullanılıyor; bunlar arasında şunlar yer alıyor: Belirli bir hedefin ekrandaki merkez koordinatlarını JSON olarak çözümleyerek sentetik tıklamaları yönlendirmek, hedefin ekrandaki gerçek metnini XML’den çözümlemek ve SCROLL_DOWN gibi otomatik gezinme komutlarını sinyallemek.”

APK tarafından çalıştırılan Go Agent, yerel bir kütüphane (“liblocal-service.so”) gibi görünür ancak komutları çalıştırmak için yerel ADB daemon’u aracılığıyla elde edilen shell erişimini kullanır; bu sayede kötü amaçlı yazılım kalıcılık sağlayabilir ve güç yönetimi muafiyetlerini uygulayabilir. FRP istemcisi ise komuta ve kontrol (C2) sunucusuna güvenli, ters bir tünel kurmak için kullanılır.

Araştırmacılar, “Go Agent, FRP tünel yapılandırmasını C2 sunucusundan alarak FRP İstemcisinin operatöre kalıcı ve aktif bir ters tünel kurmasını sağlıyor” dedi. “Bu bağlantı, saldırganlar tarafından ADB daemon’una erişim sağlamak için kullanılıyor: Bu, operatörün istediği her şeyi taşıyabilen, kötü amaçlı yazılımın kendi özellik setinden bağımsız, cihaza giden genel amaçlı bir yoldur.”

C2 sunucusu tarafından verilen komutlar, özellik bakımından zengin oldukları için çeşitlidir ve tehdit aktörlerinin SMS mesajlarını, kimlik bilgilerini, dosyaları, kilit ekranı PIN’ini, desenini veya şifresini, ekran görüntülerini, tuş vuruşlarını (web tarayıcı adres çubuklarına girilen URL’ler dahil) ve yüklü uygulamaların listesini toplamasına olanak tanır. Ayrıca RatHat’e, Go Agent tarafından yürütülen ve ekrandaki parmak hareketlerini kaydedebilen donanım düzeyinde bir keylogger da entegre edilmiştir.

Zimperium, “RatHat’in çok katmanlı mimarisi, yaşam döngüsü dışı arka plan işlemlerine bağımlılığı ve gerçek zamanlı GenAI karar döngülerinin kullanımı, geleneksel, imza tabanlı mobil güvenlik kontrollerinin neden yetersiz olduğunu göstermektedir” dedi.