Троян RATHat использует ADB для удалённого доступа к Android
RATHat использует службы специальных возможностей (Accessibility Service), чтобы включить беспроводную отладку Android, считать код сопряжения и подключиться к локальному процессу ADB. Это даёт трояну доступ к оболочке с UID 2000. Затем он устанавливает нативный сервис на Go и клиент FRP для удалённого доступа через обратный туннель. Сервис работает вне процесса приложения и системы разрешений, может сохраниться после удаления вредоносного приложения и остаётся активным до перезагрузки устройства.
Развитие инфраструктуры и география атак
Между концом 2025 года и сентябрём 2026 года имплант изменился незначительно, а инфраструктура управления прошла через три поколения: BlackCat, Panda Workshop V5 и Panda Workshop V6. Панели позволяют управлять заражёнными устройствами, собирать учётные записи, настраивать веб-инъекции и удалённое управление, собирать полезные нагрузки и использовать функции на базе ИИ. С их помощью можно упаковывать и подписывать APK, задавать приманки и URL-адреса серверов, публиковать образцы через инфраструктуру S3/CloudFront или BaoTa, а также периодически пересобирать полезные нагрузки, чтобы снизить эффективность обнаружения по хэшам. В V6 добавлены шаблоны фишинговых страниц загрузки и обфусцированный интерфейс.
С апреля 2026 года выявлено около 100 развёртываний. Часть инфраструктуры сосредоточена на ASN, зарегистрированном в Сингапуре; активность направлена на Европу, Латинскую Америку и Юго-Восточную Азию. Ограничения лицензирования, ролевой доступ и административные механизмы управления позволяют квалифицировать операцию как модель «вредоносное ПО как услуга».
Кража данных и автоматизация с помощью ИИ
RATHat крадёт учётные данные с помощью наложений с HTML-инъекциями. Шаблоны поступают через C2 и отображаются при запуске целевых приложений, а введённые данные отправляются оператору. Для удалённого управления могут применяться API MediaProjection и Accessibility, а также инструменты на уровне оболочки minicap и minitouch. С их помощью можно захватывать экран и вводить данные без стандартного индикатора записи и диалогового окна согласия. На устройствах с Android 14 и новее эти инструменты не работают и оставляют на диске файлы, по которым их можно идентифицировать.
ИИ используют и имплант, и панель. Если статические локаторы элементов интерфейса не срабатывают, имплант передаёт деревья узлов Accessibility в Gemini и получает координаты или текст для продолжения автоматизации. Панель анализирует собранные SMS-сообщения, чтобы оценивать балансы банковских счетов, ранжировать жертв и выявлять устройства высокой ценности. Такая автоматизация сокращает потребность в скриптах для конкретных устройств или приложений и может снизить стоимость будущих атак с автоматизированными транзакциями.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
