RatHat brzmi jak kolejna nazwa z raportu bezpieczeństwa, którą za tydzień wszyscy zapomną. Problem w tym, że ten malware na Androida ma cechę, która robi różnicę: potrafi użyć AI do poruszania się po telefonie i zdobywania kolejnych uprawnień, zamiast polegać na sztywnym skrypcie.
TL;DR
- Zimperium zLabs opisało RatHat – malware na Androida aktywny co najmniej od połowy września 2026
- Szkodnik nadużywa Accessibility, włącza Wireless Debugging i uzyskuje dostęp ADB bez podłączania telefonu do komputera
- AI analizuje drzewo Accessibility zapisane w XML i generuje polecenia nawigacyjne w czasie rzeczywistym
- Według doniesień o kampanii mowa o 162 zainfekowanych aplikacjach i kilkunastu serwerach C2; celem są m.in. WeChat Pay i Alipay
- Usunięcie może wymagać przywrócenia ustawień fabrycznych, bo samo odinstalowanie aplikacji nie zawsze zatrzymuje infekcję
Jak RatHat dostaje się na telefon i po co mu Accessibility
Według opisu kampanii publikowanego przez Zimperium, infekcja zaczyna się od smishingu albo złośliwej reklamy prowadzącej do strony udającej Google Play. Użytkownik pobiera plik APK podszywający się pod Chrome lub inną znaną aplikację. Potem RatHat prosi o dostęp do usług ułatwień dostępu i właśnie tu zaczyna się właściwy atak.
Po uzyskaniu tych uprawnień malware może poruszać się po interfejsie bez ciągłego udziału ofiary. Ma włączać opcje programistyczne, aktywować Wireless Debugging i odczytywać kod parowania z ekranu, aby uruchomić dostęp ADB lokalnie, bez komputera. Dalej instaluje dodatkowe komponenty, w tym agenta napisanego w Go i moduł proxy do komunikacji z infrastrukturą atakujących.
Jak RatHat używa AI do sterowania Androidem
Najciekawszy element tej historii nie dotyczy samego Androida, tylko sposobu sterowania. Z opisu wynika, że RatHat serializuje drzewo Accessibility do XML, a następnie przekazuje je do modelu językowego. Model odsyła polecenia typu przewinięcie ekranu albo kliknięcie w konkretny element interfejsu.
To ważne, bo taki mechanizm nie wymaga twardo zapisanej ścieżki dla każdej wersji aplikacji i każdego menu. Malware może reagować na to, co rzeczywiście widzi na ekranie. AI zastępuje skrypt, a to zwyczajnie utrudnia wykrywanie i ręczne blokowanie kampanii. Tu kończy się ciekawostka technologiczna, a zaczyna bardzo praktyczny problem bezpieczeństwa.
Co RatHat próbuje wykraść i dlaczego odinstalowanie może nie wystarczyć
RatHat ma przechwytywać dane wyświetlane na ekranie: loginy, hasła, kody jednorazowe i treść części powiadomień. W doniesieniach o kampanii pojawia się też scenariusz odczytywania danych o dotyku i nakładania fałszywych ekranów na aplikacje finansowe, w tym WeChat Pay i Alipay. Mechanizm nie jest przywiązany do jednego rynku, więc technicznie mógłby zostać przeniesiony także na inne usługi mobilne.
Drugi problem to trwałość infekcji. Według cytowanych analiz samo usunięcie podejrzanej aplikacji może nie rozwiązać sprawy, bo wcześniej do systemu trafiają dodatkowe komponenty. Dlatego w części publikacji pojawia się wniosek, że reset fabryczny bywa najpewniejszą metodą oczyszczenia urządzenia. To ma znaczenie także w Polsce, gdzie wiele osób instaluje APK spoza sklepu choćby dla bankowości, komunikatorów czy aplikacji z kuponami.
Co naprawdę wiemy o skali kampanii RatHat
W obiegu pojawia się liczba 162 zainfekowanych aplikacji oraz informacja o kilkunastu serwerach C2. Szkic słusznie pokazuje skalę, ale ważniejsze jest co innego: niezależnie od tego, czy kampania zatrzyma się na rynku chińskim, czy pójdzie szerzej, sam wzorzec ataku już istnieje. To nie jest eksperyment, tylko praktyczne użycie modelu językowego w malware.
Jeśli ten opis się potwierdzi w kolejnych analizach, branża bezpieczeństwa będzie musiała śledzić nie tylko sygnatury plików, lecz także sposób, w jaki szkodnik „czyta” interfejs i podejmuje decyzje. I to jest chyba najbardziej nieprzyjemna część całej historii: AI nie musi tu pisać kodu ani wymyślać ataku. Wystarczy, że sprawnie klika za człowieka.
Jak ograniczyć ryzyko na Androidzie już teraz
Nie ma tu magii ani jednej sztuczki, która załatwi sprawę. Jeśli ktoś trafi na stronę podszywającą się pod Google Play i sam nada aplikacji szerokie uprawnienia, część zabezpieczeń po prostu przestaje działać. Dlatego pierwsza linia obrony jest banalna, ale skuteczna: nie instalować APK z linków w SMS-ach, reklamach i komunikatorach.
Druga rzecz to regularny przegląd uprawnień. Sprawdź, które aplikacje mają dostęp do usług ułatwień dostępu, oraz czy na telefonie nie włączono opcji programistycznych i Wireless Debugging bez twojej wiedzy. Najważniejsza zasada: jeśli aplikacja udająca przeglądarkę, kuriera albo sklep nagle prosi o Accessibility, lepiej przerwać instalację niż potem ratować telefon po fakcie.
Najczęściej zadawane pytania
Z opisywanej kampanii wynika, że szczególnie często pojawiają się WeChat Pay i Alipay. Sam mechanizm przechwytywania ekranu, dotyku i kodów jednorazowych nie jest jednak ograniczony wyłącznie do tych usług.
Warto zacząć od kontroli aplikacji z dostępem do Accessibility, sprawdzenia, czy nie są włączone opcje programistyczne i Wireless Debugging, oraz od skanu zaufanym narzędziem bezpieczeństwa. Samo odinstalowanie podejrzanej aplikacji może nie wystarczyć.
Według cytowanych analiz przywrócenie ustawień fabrycznych może być najpewniejszą metodą usunięcia tej infekcji, jeśli do systemu trafiły dodatkowe komponenty. Przed resetem trzeba jednak zabezpieczyć ważne dane i uważać, by nie przywrócić z kopii zapasowej zainfekowanych aplikacji.
Nie instaluj APK z linków przesyłanych SMS-em lub przez reklamy, nie przyznawaj podejrzanym aplikacjom dostępu do Accessibility i zwracaj uwagę, czy telefon nie prosi nagle o czynności związane z opcjami programistycznymi.
