RatHat, Malware Android Baru yang Memanfaatkan AI untuk Mengendalikan Perangkat

Malware Android baru bernama RatHat ditemukan menggunakan subsistem berbasis kecerdasan buatan (AI) untuk membantu operator mengendalikan dan menavigasi perangkat yang telah terinfeksi dari jarak jauh.

Peneliti dari Zimperium zLabs menganalisis malware tersebut dan menemukan sejumlah kemampuan berbahaya, termasuk pencurian kredensial, intersepsi SMS dan notifikasi, perekaman aktivitas pengguna, serta mekanisme persistence yang membuat malware sulit dihapus.

Zimperium juga menduga RatHat memiliki keterkaitan dengan pelaku ancaman asal China setelah menemukan prompt untuk model bahasa besar (LLM) yang ditulis dalam bahasa Mandarin.

Disebarkan Melalui Malvertising dan APK Berbahaya

RatHat diketahui disebarkan melalui beberapa metode, termasuk malvertising, SMS, dan situs phishing yang menawarkan file APK untuk diunduh di luar Google Play.

Distribusi melalui APK dari sumber tidak resmi menjadi salah satu risiko utama bagi pengguna Android. Ketika pengguna menginstal aplikasi dari sumber tersebut, malware dapat memperoleh akses yang jauh lebih luas dibandingkan aplikasi biasa, terutama apabila korban memberikan permission sensitif.

Seperti banyak keluarga malware Android lainnya, RatHat menyalahgunakan Android Accessibility Service untuk melakukan berbagai tindakan dengan hak akses tinggi pada perangkat korban.

Mengaktifkan Wireless Debugging untuk Mendapatkan Akses Shell

Salah satu kemampuan paling menonjol dari RatHat adalah kemampuannya mengaktifkan Developer Options dan Wireless Debugging.

Dengan mekanisme tersebut, malware dapat memperoleh konteks eksekusi pada tingkat ADB shell tanpa membutuhkan komputer eksternal.

Teknik serupa sebelumnya juga ditemukan pada beberapa malware Android lainnya, termasuk ToxicPanda dan RedHook.

Setelah mendapatkan akses ADB, RatHat memasang agent berbasis Go bernama liblocal-service.so.

Agent tersebut dapat menjalankan perintah dengan hak akses ADB shell, membuat pengecualian terhadap pembatasan baterai, serta membantu mempertahankan keberadaan malware di perangkat.

Menariknya, agent tersebut juga memiliki mekanisme pemulihan dua arah. Jika malware utama dihentikan atau dihapus, agent dapat memulihkannya kembali. Sebaliknya, jika agent dihapus, malware utama dapat memasang kembali agent tersebut.

Mekanisme tersebut memberikan RatHat saluran persistence tambahan yang tidak hanya bergantung pada komponen malware utamanya.

Reverse Proxy Memungkinkan Akses Jarak Jauh

RatHat juga memasang agent kedua bernama libmedia_codec.so.

Komponen ini berfungsi sebagai FRP reverse-proxy client yang membuat tunnel persisten menuju infrastruktur yang dikendalikan penyerang.

Dengan adanya tunnel tersebut, operator dapat mempertahankan koneksi ke perangkat yang telah dikompromikan dan melakukan komunikasi dengan komponen malware dari jarak jauh.

Kemampuan ini memperluas fungsi RatHat dari sekadar pencuri informasi menjadi alat untuk mengendalikan perangkat korban.

Menargetkan Aplikasi Perbankan dan Cryptocurrency

RatHat juga menggunakan HTML overlay untuk aplikasi perbankan dan cryptocurrency tertentu.

Overlay tersebut dirancang agar terlihat seperti bagian dari aplikasi yang sedang digunakan korban. Tujuannya adalah menangkap kredensial akun ketika korban memasukkannya.

Selain kredensial, RatHat memiliki kemampuan untuk:

• Mencegat SMS dan notifikasi.
• Mencuri kode OTP atau one-time password.
• Merekam perubahan teks pada perangkat.
• Mengekstrak URL dari address bar browser.
• Menangkap PIN lock screen.
• Mencuri password.
• Merekam pola unlock perangkat.

Kemampuan untuk membaca SMS dan notifikasi sangat berisiko karena kode OTP yang dikirimkan melalui SMS dapat dicegat sebelum korban menyadarinya.

RatHat Menggunakan AI untuk Menavigasi Antarmuka Android

Fitur yang paling menarik sekaligus mengkhawatirkan dari RatHat adalah penggunaan AI untuk melakukan navigasi antarmuka pengguna.

Menurut Zimperium, malware tersebut menggunakan engine otomatisasi UI berbasis AI yang mengambil struktur Accessibility Android secara real-time, kemudian melakukan serialisasi struktur tersebut ke dalam format XML.

Data tersebut dikirimkan ke sebuah AI assistant populer yang tidak disebutkan namanya dalam laporan Zimperium.

AI tersebut kemudian diminta untuk melakukan berbagai tugas, seperti:

• Menentukan koordinat tengah dari elemen antarmuka tertentu.
• Mengidentifikasi teks sebenarnya yang terdapat pada sebuah elemen.
• Memberikan instruksi navigasi, misalnya SCROLL_DOWN.

Dengan pendekatan tersebut, operator RatHat tidak harus mengendalikan setiap interaksi secara manual.

AI dapat membantu malware memahami tampilan aplikasi dan menentukan tindakan berikutnya berdasarkan kondisi antarmuka yang sedang ditampilkan.

Lebih Adaptif Dibandingkan Script Konvensional

Otomatisasi berbasis script biasanya bergantung pada posisi tombol, struktur halaman, atau urutan tindakan yang sudah ditentukan sebelumnya.

Perubahan kecil pada antarmuka aplikasi dapat menyebabkan script tersebut gagal bekerja.

RatHat menggunakan pendekatan berbeda dengan memanfaatkan AI untuk memahami struktur UI secara lebih dinamis. Hal ini membuat sistem otomatisasinya berpotensi beradaptasi terhadap perubahan antarmuka.

Zimperium mengatakan pendekatan tersebut membuat operasi RatHat lebih adaptif dan dapat menyulitkan perangkat lunak keamanan untuk mendeteksinya dibandingkan otomatisasi tradisional yang sepenuhnya menggunakan script.

Penggunaan AI dengan cara tersebut juga menunjukkan perkembangan baru dalam malware Android, di mana AI tidak hanya digunakan oleh pengguna atau aplikasi legitimate, tetapi dapat menjadi bagian dari mekanisme otomatisasi serangan.

RatHat Menghambat Upaya Uninstall

RatHat juga memiliki mekanisme untuk menghalangi pengguna ketika mencoba menghapus malware.

Ketika korban membuka layar konfirmasi uninstall, malware dapat mencegat proses tersebut dan membatalkan prosedur penghapusan.

RatHat kemudian menampilkan overlay yang menyerupai Google Play dan menunjukkan pesan kesalahan palsu.

Dengan cara ini, pengguna dapat mengira proses uninstall gagal karena masalah pada Google Play, padahal malware sengaja mencegah dirinya dihapus.

Menggunakan Teknik Anti-Analysis

Peneliti Zimperium juga menemukan sejumlah teknik anti-analysis yang dirancang untuk menyulitkan peneliti keamanan maupun perangkat lunak analisis malware.

Beberapa teknik tersebut meliputi:

• Manipulasi terhadap container APK.
• Android manifest berukuran sangat besar, mencapai sekitar 61 MB.
• Invalid DEX pseudo instructions.

Teknik tersebut dapat membingungkan atau bahkan menyebabkan kegagalan pada tool yang digunakan untuk melakukan analisis statis terhadap aplikasi Android.

Kombinasi antara anti-analysis, persistence, akses ADB, reverse proxy, pencurian kredensial, dan otomatisasi berbasis AI membuat RatHat memiliki berbagai lapisan kemampuan dalam satu malware.

Pengguna Android Diminta Berhati-hati dengan APK

Pengguna Android sebaiknya tidak mengunduh file APK dari luar Google Play kecuali benar-benar mengetahui dan mempercayai penerbit aplikasi tersebut.

Selain sumber aplikasi, pengguna juga perlu berhati-hati ketika sebuah aplikasi meminta Accessibility permission. Permission ini memberikan kemampuan yang sangat luas untuk membaca dan berinteraksi dengan antarmuka perangkat.

Pengguna juga disarankan untuk:

• Tidak memberikan Accessibility permission kepada aplikasi yang tidak membutuhkannya.
• Menghindari APK dari situs dan tautan SMS yang tidak dikenal.
• Memastikan Google Play Protect tetap aktif.
• Memeriksa aplikasi yang terpasang secara berkala.
• Menghapus aplikasi yang menunjukkan perilaku mencurigakan.
• Tidak memasukkan kredensial perbankan atau cryptocurrency ke dalam aplikasi yang sumbernya tidak jelas.

Kemunculan RatHat juga menunjukkan bahwa penggunaan AI dalam malware mulai berkembang dari sekadar membantu pembuatan kode atau konten menjadi bagian dari otomatisasi interaksi dengan perangkat korban.

Sumber: Zimperium