22/09/2026 · VietTechies · Biên tập
Theo công ty bảo mật di động Zimperium, trojan Android mới được phát hiện mang tên RatHat sử dụng AI tạo sinh để diễn giải giao diện trên màn hình và thao tác thiết bị nhiễm mã độc. SecurityWeek đưa tin RatHat phát tán qua tin nhắn lừa đảo và quảng cáo độc hại, sau đó triển khai quy trình nhiều giai đoạn nhằm thoát khỏi vùng cách ly ứng dụng của Android và giành quyền thực thi ở cấp shell.
AI định hướng thao tác trên giao diện
RatHat chuyển cây Accessibility đang hoạt động trên thiết bị thành dữ liệu XML rồi gửi biểu diễn này tới một trợ lý AI tạo sinh. Zimperium cho biết trợ lý có thể đọc nội dung hiển thị và bố cục, qua đó giúp mã độc tự động điều hướng, tương tác với giao diện theo thời gian thực. Phần AI được ghi nhận chỉ đảm nhiệm các thao tác giao diện vốn không độc hại, còn những thành phần xung quanh của RatHat thực hiện hành vi đánh cắp thông tin đăng nhập và điều khiển từ xa.
Thông tin đăng nhập và thao tác chạm bị lộ
Ứng dụng Android độc hại có thể giả mạo ứng dụng ngân hàng và thanh toán bằng lớp phủ WebView, ghi lại màn hình cùng dữ liệu người dùng nhập, chặn tin nhắn SMS và tìm cách giành quyền quản trị thiết bị. Các phương thức ghi phím gồm theo dõi sự kiện thay đổi văn bản của Accessibility, đọc thanh địa chỉ trình duyệt qua mã định danh tài nguyên và dựng lại thao tác chạm từ tọa độ thô được công cụ gỡ lỗi getevent của Android ghi nhận.
Sự kết hợp này có thể làm lộ mật khẩu, mã PIN, mã truy cập và mẫu hình mở khóa. RatHat cũng có thể nhận các bí danh hoạt động thông qua cấu hình động, đồng thời dùng trang HTML được bản địa hóa làm mồi nhử để xin quyền truy cập Accessibility Services và nâng cao đặc quyền.
Chuỗi duy trì gồm ba thành phần
Zimperium mô tả RatHat là hệ thống gồm ba thành phần: ứng dụng Android, tác nhân viết bằng Go và trình khách FRP. Sau khi giành được shell thông qua tiến trình ADB cục bộ, tác nhân Go thực thi lệnh, duy trì sự hiện diện ở cấp hệ thống và tìm cách được miễn các cơ chế quản lý năng lượng. Thành phần frpc, được phát triển dựa trên fatedier/frp, tạo đường hầm ngược lâu dài để mở quyền truy cập tiến trình ADB cho kẻ tấn công.
Mã độc có thể chặn và hủy các lần gỡ cài đặt. Ngay cả khi ứng dụng hiển thị đã bị xóa, một dịch vụ shell ẩn vẫn tồn tại trên thiết bị, định kỳ kiểm tra ứng dụng và cài đặt lại khi cần. Zimperium còn cho biết các câu lệnh dành cho AI được tìm thấy trong mã độc gợi ý, nhưng chưa đủ để khẳng định, rằng RatHat do một tác nhân đe dọa Trung Quốc phát triển.
Ảnh minh họa do AI tạo.