Šta se desilo?

Istraživači kompanije Zimperium opisali su 16. septembra 2026. novi Android malver pod nazivom RatHat koji kombinuje zloupotrebu Accessibility servisa, lokalni ADB pristup i generativnu veštačku inteligenciju kako bi ostvario naprednu kontrolu nad kompromitovanim uređajem.

RatHat se prvenstveno distribuira kroz smishing kampanje, malvertajzing, lažne stranice za preuzimanje aplikacija i forume koji nude APK fajlove predstavljene kao legitimne aplikacije.

Posebno je zanimljiv AI mehanizam koji analizira sadržaj ekrana i pomaže malveru da prepozna elemente korisničkog interfejsa i odredi sledeću akciju. Na taj način automatizacija nije ograničena samo na unapred definisane koordinate i korake.

Koga pogađa?

Riziku su prvenstveno izloženi korisnici Android uređaja koji instaliraju APK fajlove sa nezvaničnih sajtova, preko linkova iz SMS poruka, oglasa ili drugih nepouzdanih izvora.

Poseban rizik postoji za korisnike mobilnog bankarstva, platnih servisa i kripto aplikacija, jer RatHat može da prikazuje lažne ekrane preko legitimnih aplikacija, presreće SMS poruke i obaveštenja sa OTP kodovima i prikuplja PIN-ove, lozinke i druge pristupne podatke.

Kako se zaštititi?

  • Ne instalirajte APK fajlove sa nepoznatih sajtova, linkova iz SMS poruka ili oglasa.
  • Aplikacije preuzimajte preko Google Play prodavnice ili direktno od proverenog izdavača.
  • Ne dodeljujte Accessibility dozvolu aplikaciji ako za to nema jasan i opravdan razlog.
  • Držite Developer Options i Wireless Debugging isključene kada ih ne koristite.
  • Redovno proveravajte koje aplikacije imaju Accessibility, Device Admin i druge osetljive dozvole.
  • Koristite Google Play Protect i redovno ažurirajte Android sistem i aplikacije.
  • Budite posebno oprezni prema aplikacijama instaliranim nakon SMS poruke, oglasa ili poruke koja obećava finansijsku korist.

Tehnički detalji

RatHat prvo pokušava da dobije pristup Android Accessibility servisu. Nakon što korisnik odobri ovu dozvolu, malver automatizovano otvara sistemska podešavanja, aktivira Developer Options i uključuje Wireless Debugging.

Zatim sa ekrana čita šestocifreni ADB kod za uparivanje i dinamički port, nakon čega preko ugrađene ADB biblioteke povezuje uređaj sa sopstvenim lokalnim ADB servisom. Na taj način dobija privilegije ADB shell korisnika, što nije isto što i root pristup, bez povezivanja telefona sa spoljnim računarom.

Preko ADB pristupa RatHat postavlja dve dodatne komponente u /data/local/tmp direktorijum. Go komponenta liblocal-service.so izvršava komande sa ADB shell privilegijama, pomaže u održavanju prisustva na uređaju i može ponovo instalirati malver ukoliko korisnik ukloni glavnu aplikaciju.

Druga komponenta, libmedia_codec.so, funkcioniše kao FRP reverse-proxy klijent i uspostavlja trajni tunel između kompromitovanog uređaja i infrastrukture napadača.

RatHat može da prikazuje HTML overlay stranice preko bankarskih, platnih i kripto aplikacija kako bi ukrao pristupne podatke. Takođe može da presreće SMS poruke i obaveštenja sa 2FA i OTP kodovima, prati tekst koji korisnik unosi i prikuplja podatke iz adresnih polja browsera.

Go komponenta može da koristi Android getevent alat za čitanje sirovih događaja sa /dev/input interfejsa, što omogućava beleženje koordinata dodira ekrana. U kombinaciji sa informacijama o prikazanom sadržaju, napadači mogu rekonstruisati PIN, lozinku ili obrazac za otključavanje.

Za automatizaciju korisničkog interfejsa RatHat pretvara trenutno Accessibility stablo ekrana u XML i šalje ga AI asistentu. Model zatim može da identifikuje elemente interfejsa, tekst i koordinate, kao i da vrati instrukcije poput pomeranja ekrana ili izbora određenog elementa.

Malver dodatno otežava uklanjanje tako što može da presretne ekran za deinstalaciju, otkaže postupak i prikaže lažnu Google Play poruku o grešci. Čak i nakon uspešnog uklanjanja glavne aplikacije, nezavisna Go komponenta može ostati aktivna i ponovo instalirati malver.

Zašto je važno?

Smishing, lažni oglasi i APK fajlovi sa nezvaničnih sajtova predstavljaju realan rizik i za korisnike u Srbiji i regionu. RatHat pokazuje kako savremeni Android malver može da kombinuje socijalni inženjering, legitimne sistemske funkcije i veštačku inteligenciju kako bi ostvario dugotrajan pristup uređaju.

Posebno zabrinjava mogućnost krađe bankarskih pristupnih podataka, OTP kodova i PIN-ova, jer kompromitovanje mobilnog uređaja može direktno ugroziti finansijske naloge korisnika.

Izveštaj ne daje potvrđen broj žrtava niti potvrđuje infekcije u Srbiji.

Preporuka Sajber Radara

Ne instalirajte APK fajlove sa linkova iz SMS poruka, oglasa ili nepoznatih sajtova i nikada ne dodeljujte Accessibility dozvolu aplikaciji čiju namenu i poreklo ne možete pouzdano da proverite.

Držite Wireless Debugging i Developer Options isključene kada vam nisu potrebni i redovno proveravajte aplikacije sa privilegovanim dozvolama. Ako primetite da su ove funkcije uključene bez vašeg znanja, tretirajte uređaj kao potencijalno kompromitovan.

Ako sumnjate na infekciju, izolujte uređaj i obratite se stručnoj podršci. Sa čistog uređaja promenite kompromitovane lozinke, opozovite sesije i kontaktirajte banku ako su ugroženi finansijski nalozi. Samo uklanjanje glavne aplikacije nije pouzdan dokaz da je uređaj očišćen.