Κακόβουλο λογισμικό RatHat για Android: Πώς η τεχνητή νοημοσύνη φέρεται να αλλάζει τις απειλές για κινητές συσκευές

Τι συνέβη

Πρόσφατα δημοσιεύματα διεθνών μέσων ενημέρωσης, συμπεριλαμβανομένων των France Mobiles και Commercial Times, περιγράφουν την εμφάνιση μιας νέας απειλής για κινητές συσκευές που προσδιορίζεται ως RatHat. Το λογισμικό αυτό περιγράφεται ως μια προηγμένη μορφή κακόβουλου λογισμικού για Android, σχεδιασμένη ειδικά για να παραβιάζει συσκευές χρηστών, να αποσπά ευαίσθητα διαπιστευτήρια και να εδραιώνει μακροπρόθεσμο έλεγχο στο λειτουργικό σύστημα. Το καθοριστικό χαρακτηριστικό που επισημαίνεται σε αυτές τις αρχικές αναφορές είναι η ενσωμάτωση παραγωγικής τεχνητής νοημοσύνης, η οποία φέρεται να επιτρέπει στο κακόβουλο λογισμικό να προσαρμόζεται δυναμικά σε αλλαγές στις διεπαφές χρήστη. Οι κινητές συσκευές έχουν καταστεί οι κύριες υπολογιστικές πλατφόρμες για την πλειονότητα του παγκόσμιου πληθυσμού, διαχειριζόμενες τα πάντα, από προσωπικές επικοινωνίες έως ευαίσθητες οικονομικές συναλλαγές. Κατά συνέπεια, το οικοσύστημα των κινητών έχει εξελιχθεί σε ένα εξαιρετικά επικερδές περιβάλλον για κακόβουλους δρώντες. Η εξέλιξη του κακόβουλου λογισμικού για κινητά έχει ιστορικά ακολουθήσει μια προβλέψιμη πορεία, περνώντας από απλές εφαρμογές απάτης μέσω χρεώσεων SMS σε σύνθετα τραπεζικά trojans ικανά να επικαλύπτουν ψεύτικες οθόνες σύνδεσης πάνω σε νόμιμες τραπεζικές εφαρμογές. Η εισαγωγή ενός στελέχους όπως το RatHat, όπως περιγράφεται στις πρόσφατες αναφορές, αντιπροσωπεύει μια πιθανή μετατόπιση σε αυτό το τοπίο. Η συλλογή πληροφοριών για απειλές βασίζεται συχνά σε συνδυασμό αυτοματοποιημένης σάρωσης, αναφορών χρηστών και ανάλυσης ύποπτων εφαρμογών που εντοπίζονται σε καταστήματα εφαρμογών τρίτων ή διανέμονται μέσω εκστρατειών phishing. Όταν εντοπίζεται ένα νέο στέλεχος, τα διεθνή μέσα τεχνολογίας και κυβερνοασφάλειας διαδίδουν συχνά τα αρχικά ευρήματα, σκιαγραφώντας τις υποτιθέμενες δυνατότητες του λογισμικού και το στοχευόμενο κοινό. Στην περίπτωση του RatHat, η αφήγηση επικεντρώνεται στην ικανότητά του να παρακάμπτει παραδοσιακά μέτρα ασφαλείας αξιοποιώντας σύγχρονες τεχνικές τεχνητής νοημοσύνης, μια εξέλιξη που έχει προσελκύσει την προσοχή σε διάφορες περιοχές και τεχνικές εκδόσεις.

Τι γνωρίζουμε

Με βάση τις διαθέσιμες αναφορές, το RatHat στοχεύει το λειτουργικό σύστημα Android και εστιάζει έντονα στην υποκλοπή διαπιστευτηρίων και τον έλεγχο της συσκευής. Ο κύριος μηχανισμός που φέρεται να εκμεταλλεύεται για την επίτευξη αυτών των στόχων είναι η κατάχρηση των Υπηρεσιών Προσβασιμότητας (Accessibility Services) του Android. Για να κατανοηθούν οι επιπτώσεις αυτού, είναι απαραίτητο να εξεταστεί ο τρόπος με τον οποίο το Android διαχειρίζεται τα δικαιώματα εφαρμογών και την ασφάλεια. Το Android χρησιμοποιεί μια αρχιτεκτονική sandbox, πράγμα που σημαίνει ότι, από προεπιλογή, οι εφαρμογές λειτουργούν σε απομονωμένα περιβάλλοντα και δεν μπορούν να αλληλεπιδράσουν με τα δεδομένα άλλων εφαρμογών ούτε να τα δουν. Αυτός ο σχεδιασμός είναι θεμελιώδης για την ασφάλεια των κινητών, αποτρέποντας, για παράδειγμα, μια κακόβουλη εφαρμογή φακού από το να διαβάσει τα δεδομένα μιας τραπεζικής εφαρμογής. Ωστόσο, οι Υπηρεσίες Προσβασιμότητας εισήχθησαν για να βοηθήσουν χρήστες με αναπηρίες, επιτρέποντας σε εξειδικευμένες εφαρμογές να διαβάζουν το περιεχόμενο της οθόνης, να ερμηνεύουν στοιχεία διεπαφής και να εκτελούν αυτοματοποιημένες χειρονομίες ή κλικ εκ μέρους του χρήστη. Επειδή αυτές οι υπηρεσίες απαιτούν βαθιά πρόσβαση στο σύστημα για να λειτουργούν σε όλες τις εφαρμογές, παρακάμπτουν ουσιαστικά το τυπικό sandbox των εφαρμογών. Εάν ένας χρήστης παραπλανηθεί και παραχωρήσει δικαιώματα Προσβασιμότητας σε μια κακόβουλη εφαρμογή, το λογισμικό αυτό αποκτά τη δυνατότητα να παρακολουθεί οτιδήποτε εμφανίζεται στην οθόνη, να καταγράφει πληκτρολογήσεις, να διαβάζει εισερχόμενα μηνύματα SMS ταυτοποίησης δύο παραγόντων (2FA) και να αλληλεπιδρά με άλλες εφαρμογές χωρίς τη φυσική παρέμβαση του χρήστη. Οι αναφορές υποδεικνύουν ότι το RatHat βασίζεται σε αυτήν την καλά τεκμηριωμένη οδό ευπάθειας. Μόλις χορηγηθεί η αρχική άδεια, το κακόβουλο λογισμικό μπορεί θεωρητικά να λειτουργεί αόρατα στο παρασκήνιο, περιμένοντας τον χρήστη να ανοίξει στοχευμένες εφαρμογές, όπως πορτοφόλια κρυπτονομισμάτων, προγράμματα ηλεκτρονικού ταχυδρομείου ή τραπεζικές πλατφόρμες, πριν ξεκινήσει τις ρουτίνες συλλογής διαπιστευτηρίων.

Τι δεν γνωρίζουμε

Παρά τις περιγραφές που παρέχονται από διεθνή μέσα ενημέρωσης, οι συγκεκριμένες τεχνικές λεπτομέρειες και ο πραγματικός αντίκτυπος του RatHat παραμένουν ανεπιβεβαίωτα λόγω ανεπαρκών δεδομένων. Η κοινότητα κυβερνοασφάλειας βασίζεται συνήθως σε αυστηρή, ανεξάρτητη ανάλυση για να επιβεβαιώσει τις δυνατότητες ενός νέου στελέχους κακόβουλου λογισμικού, και μια τέτοια ολοκληρωμένη τεκμηρίωση λείπει επί του παρόντος για το RatHat. Δεν γνωρίζουμε την ακριβή κλίμακα της μόλυνσης, συμπεριλαμβανομένου του αριθμού των συσκευών που έχουν παραβιαστεί ή ποιες γεωγραφικές περιοχές αποτελούν πρωταρχικό στόχο. Επιπλέον, ο αρχικός φορέας μόλυνσης παραμένει ασαφής. Το κακόβουλο λογισμικό διανέμεται συνήθως μέσω κακόβουλων συνδέσμων σε μηνύματα SMS (smishing), παραβιασμένων ιστοτόπων ή εφαρμογών που παρουσιάζονται ως νόμιμα εργαλεία σε καταστήματα εφαρμογών τρίτων. Οι συγκεκριμένες μέθοδοι που χρησιμοποιήθηκαν για την ανάπτυξη του RatHat στις συσκευές των χρηστών δεν έχουν εξακριβωθεί οριστικά. Κυρίως, η ακριβής φύση της υλοποίησης της παραγωγικής τεχνητής νοημοσύνης παραμένει άγνωστη. Δεν είναι σαφές εάν τα μοντέλα τεχνητής νοημοσύνης εκτελούνται τοπικά στη μολυσμένη συσκευή, κάτι που θα απαιτούσε σημαντικούς υπολογιστικούς πόρους και θα μπορούσε να εξαντλήσει την μπαταρία, ή εάν το κακόβουλο λογισμικό καταγράφει δεδομένα οθόνης και τα αποστέλλει σε έναν απομακρυσμένο διακομιστή εντολών και ελέγχου (C2) όπου πραγματοποιείται η επεξεργασία. Η αρχιτεκτονική αυτής της ενσωμάτωσης τεχνητής νοημοσύνης αποτελεί κρίσιμο στοιχείο που λείπει. Επιπλέον, η ταυτότητα των δραστών πίσω από το RatHat, τα κίνητρά τους και η υποδομή που χρησιμοποιούν για τη διαχείριση των κλεμμένων δεδομένων δεν έχουν ταυτοποιηθεί. Χωρίς πρόσβαση στα μεταγλωττισμένα πακέτα εφαρμογών (APKs) ή λεπτομερείς τεχνικές αναλύσεις από αναγνωρισμένα ερευνητικά εργαστήρια κυβερνοασφάλειας, το πλήρες εύρος και οι επιχειρησιακοί μηχανισμοί του κακόβουλου λογισμικού δεν μπορούν να επαληθευτούν ανεξάρτητα.

Τι ισχυρίζονται

Ο πιο εξέχων ισχυρισμός γύρω από το RatHat είναι η χρήση παραγωγικής τεχνητής νοημοσύνης για την προσαρμογή σε αλλαγές της διεπαφής χρήστη (UI). Το παραδοσιακό κακόβουλο λογισμικό για κινητά βασίζεται συχνά σε προκαθορισμένες παραμέτρους στον κώδικά του για την εκτέλεση εργασιών. Για παράδειγμα, ένα τραπεζικό trojan μπορεί να είναι προγραμματισμένο να αναζητά ένα συγκεκριμένο πεδίο κειμένου με την ένδειξη «Password» ή να κάνει κλικ σε ένα κουμπί που βρίσκεται σε ακριβείς συντεταγμένες pixel στην οθόνη. Εάν η στοχευμένη τραπεζική εφαρμογή ενημερώσει τη διάταξή της, αλλάξει τα ονόματα των εσωτερικών στοιχείων διεπαφής της ή τροποποιήσει τον χρωματικό της συνδυασμό, το παραδοσιακό κακόβουλο λογισμικό συχνά παύει να λειτουργεί σωστά και αποτυγχάνει να καταγράψει τα επιδιωκόμενα δεδομένα. Οι αναφορές ισχυρίζονται ότι το RatHat υπερβαίνει αυτόν τον περιορισμό χρησιμοποιώντας παραγωγική τεχνητή νοημοσύνη για να αναλύει οπτικά ή δομικά την οθόνη σε πραγματικό χρόνο. Αυτό υποδηλώνει ότι το κακόβουλο λογισμικό μπορεί να κατανοήσει το περιβάλλον της διεπαφής, εντοπίζοντας πεδία σύνδεσης και κουμπιά υποβολής ανεξάρτητα από τη συγκεκριμένη θέση τους ή τη δομή του υποκείμενου κώδικα, όπως θα έκανε ένας ανθρώπινος χρήστης. Αυτή η προσαρμοστικότητα θα καθιστούσε το κακόβουλο λογισμικό εξαιρετικά ανθεκτικό σε ενημερώσεις εφαρμογών και διορθώσεις ασφαλείας. Επιπλέον, οι αναφορές ισχυρίζονται ότι το RatHat χρησιμοποιεί προηγμένες τεχνικές για να διατηρεί παρουσία (persistence) στη συσκευή. Η διατήρηση παρουσίας αναφέρεται στην ικανότητα ενός κακόβουλου λογισμικού να παραμένει ενεργό και να επιβιώνει από επανεκκινήσεις της συσκευής ή απόπειρες απεγκατάστασής του από τον χρήστη. Αυτό επιτυγχάνεται συχνά με την απόκρυψη του εικονιδίου της εφαρμογής από τον εκκινητή, την απαίτηση προνομίων Διαχειριστή Συσκευής για τον αποκλεισμό της απεγκατάστασης ή την παρέμβαση στις ρυθμίσεις βελτιστοποίησης μπαταρίας, ώστε να διασφαλίζεται ότι οι κακόβουλες υπηρεσίες παρασκηνίου δεν τερματίζονται ποτέ από το λειτουργικό σύστημα. Ο συνδυασμός προσαρμοστικότητας μέσω τεχνητής νοημοσύνης και ισχυρών μηχανισμών διατήρησης παρουσίας παρουσιάζεται ως η βασική απειλή του λογισμικού RatHat.

Τι έχει επαληθευτεί

Σε αυτό το στάδιο, αυτό που έχει επιβεβαιωθεί είναι η ύπαρξη των δημοσιευμάτων από μέσα όπως το France Mobiles και η Commercial Times, τα οποία περιγράφουν το κακόβουλο λογισμικό RatHat και τις υποτιθέμενες δυνατότητές του. Αποτελεί επίσης επιβεβαιωμένο γεγονός ότι οι υποκείμενες τεχνικές που περιγράφονται σε αυτές τις αναφορές —συγκεκριμένα η κατάχρηση των Υπηρεσιών Προσβασιμότητας του Android για υποκλοπή διαπιστευτηρίων και η εδραίωση διατήρησης παρουσίας— είναι τεχνολογικά εφικτές και έχουν χρησιμοποιηθεί από πολλές άλλες οικογένειες κακόβουλου λογισμικού στο παρελθόν. Η ιστορία της ασφάλειας του Android χαρακτηρίζεται από έναν συνεχή αγώνα ενάντια σε εφαρμογές που χειραγωγούν λειτουργίες προσβασιμότητας. Καλά τεκμηριωμένα στελέχη κακόβουλου λογισμικού, όπως τα Anubis, Cerberus και Flubot, έχουν χρησιμοποιήσει παρόμοιες τακτικές για να επικαλύπτουν ψεύτικες οθόνες σύνδεσης, να υποκλέπτουν μηνύματα SMS και να εκτελούν αυτοματοποιημένες συναλλαγές. Η ιδέα της χρήσης μηχανικής μάθησης ή τεχνητής νοημοσύνης για την ενίσχυση επιθετικών εργαλείων ασφαλείας αποτελεί επίσης έναν αναγνωρισμένο τομέα έρευνας και ανάπτυξης στο ευρύτερο τοπίο της κυβερνοασφάλειας. Οι αναλυτές ασφαλείας ανέμεναν από καιρό την ενσωμάτωση της τεχνητής νοημοσύνης σε κακόβουλο λογισμικό για την αυτοματοποίηση της αναγνώρισης στόχων, τη δημιουργία πολυμορφικού κώδικα που διαφεύγει από τον εντοπισμό βάσει υπογραφών και τη βελτίωση των ποσοστών επιτυχίας εκστρατειών κοινωνικής μηχανικής. Επομένως, ενώ η συγκεκριμένη εφαρμογή αυτών των τεχνολογιών εντός του κακόβουλου λογισμικού RatHat παραμένει ανεπιβεβαίωτη, οι θεμελιώδεις έννοιες και οι φορείς επίθεσης που φέρεται να χρησιμοποιεί αποτελούν εδραιωμένες πραγματικότητες στον τομέα της ασφάλειας κινητών συσκευών.

Εναλλακτικές εξηγήσεις

• Πιθανή: Το RatHat είναι ένα προηγμένο κακόβουλο λογισμικό για Android που καταχράται λειτουργίες προσβασιμότητας και χρησιμοποιεί παραγωγική τεχνητή νοημοσύνη για να προσαρμόζεται σε αλλαγές διεπαφής, επιτρέποντάς του να υποκλέπτει διαπιστευτήρια και να διατηρεί παρουσία στη συσκευή.

Τι θα άλλαζε την εκτίμησή μας

Για να μεταβεί η αξιολόγηση του RatHat από ανεπιβεβαίωτη σε εξακριβωμένη, οι ειδικοί κυβερνοασφάλειας θα χρειάζονταν πρόσβαση σε απτά τεχνικά δεδομένα και ανεξάρτητη ψηφιακή εγκληματολογική ανάλυση. Η πρωταρχική απαίτηση είναι η απόκτηση των εκτελέσιμων αρχείων του κακόβουλου λογισμικού, συνήθως με τη μορφή πακέτων εφαρμογών Android (APKs). Μόλις οι ερευνητές αποκτήσουν αυτά τα αρχεία, μπορούν να δημιουργήσουν κρυπτογραφικούς κατακερματισμούς (όπως SHA-256) για να ταυτοποιήσουν μοναδικά το κακόβουλο λογισμικό και να παρακολουθήσουν τη διανομή του σε διάφορες πλατφόρμες. Στη συνέχεια, οι αναλυτές ασφαλείας θα εκτελούσαν τόσο στατική όσο και δυναμική ανάλυση. Η στατική ανάλυση περιλαμβάνει την αντίστροφη μηχανική του απομεταγλωττισμένου κώδικα για την εξέταση της δομής του, τον εντοπισμό των δικαιωμάτων που ζητά και τον εντοπισμό τυχόν ενσωματωμένων διευθύνσεων URL ή IP που σχετίζονται με την υποδομή εντολών και ελέγχου του. Η δυναμική ανάλυση περιλαμβάνει την εκτέλεση του κακόβουλου λογισμικού σε ένα ασφαλές, απομονωμένο περιβάλλον (sandbox) για την παρατήρηση της συμπεριφοράς του σε πραγματικό χρόνο. Αυτή η διαδικασία θα αποκάλυπτε πώς αλληλεπιδρά το λογισμικό με το λειτουργικό σύστημα, ποια δεδομένα επιχειρεί να υποκλέψει και πώς εδραιώνει τη διατήρηση παρουσίας του. Κυρίως, για να επαληθευτούν οι ισχυρισμοί σχετικά με την παραγωγική τεχνητή νοημοσύνη, οι ερευνητές θα έπρεπε να απομονώσουν τις συγκεκριμένες ενότητες ή την κίνηση δικτύου που ευθύνεται για την προσαρμογή της διεπαφής. Θα έπρεπε να τεκμηριώσουν εάν το κακόβουλο λογισμικό χρησιμοποιεί ενσωματωμένα μοντέλα μηχανικής μάθησης ή επικοινωνεί με εξωτερικά APIs τεχνητής νοημοσύνης. Μια ολοκληρωμένη τεχνική έκθεση που δημοσιεύεται από αναγνωρισμένη εταιρεία πληροφοριών απειλών, περιγράφοντας λεπτομερώς την αλυσίδα μόλυνσης, τον αναλυμένο κώδικα και τα πρωτόκολλα επικοινωνίας δικτύου, θα παρείχε τα απαραίτητα δεδομένα για την πλήρη κατανόηση και επικύρωση των δυνατοτήτων του κακόβουλου λογισμικού RatHat.