Phần mềm độc hại Android RatHat lạm dụng ADB để duy trì truy cập sau khi gỡ cài đặt
"Researchers identified RatHat, a new Android malware campaign that uses smishing, malvertising, and deceptive APKs to gain accessibility permissions, enable wireless debugging, and pair with ADB for shell-level access. The malware can persist after uninstall, establish reverse tunnels via FRP, and steal credentials, SMS, screen captures, keystrokes, and device data; no CVE is mentioned and the primary mitigation is improved mobile security controls and detection of ADB/accessibility abuse."
Rủi ro cao do duy trì quyền shell sau khi gỡ cài đặt, thu thập dữ liệu nhạy cảm và vượt qua sandbox Android.
Có thể gây rò rỉ thông tin xác thực, gián đoạn vận hành thiết bị di động và tăng chi phí ứng phó sự cố.
Các nhà nghiên cứu an ninh đã phát hiện RatHat, một chiến dịch phần mềm độc hại Android mới được cho là do nhóm tấn công có liên hệ với Trung Quốc vận hành. Mã độc này phát tán chủ yếu qua smishing, malvertising và các APK giả mạo trên trang tải xuống bên thứ ba, sau đó yêu cầu quyền Accessibility để mở rộng kiểm soát thiết bị.
Theo phân tích, RatHat có thể bật Wireless Debugging, ghép cặp với ADB (Android Debug Bridge) và đạt quyền shell trên thiết bị. Cơ chế này cho phép mã độc duy trì truy cập ngay cả khi ứng dụng bị gỡ, đồng thời thiết lập reverse tunnel qua FRP để nhận lệnh từ máy chủ điều khiển. Mã độc còn có khả năng thu thập SMS, thông tin đăng nhập, ảnh chụp màn hình, phím bấm, danh sách ứng dụng và dữ liệu thiết bị.
RatHat cũng tích hợp nhiều kỹ thuật né phân tích như container tampering, manifest bomb, DEX bytecode poisoning và mã hóa chuỗi. Một số thành phần còn sử dụng GenAI để hỗ trợ điều hướng giao diện và thao tác tự động.
Khuyến nghị: siết chặt chính sách quản trị thiết bị di động, giám sát việc cấp Accessibility và ADB, chặn cài đặt APK ngoài kho chính thức, và phát hiện hành vi bật Wireless Debugging hoặc tạo reverse tunnel bất thường.