Исследователи из компании Zimperium zLabs выявили новую угрозу для мобильных устройств на базе Android — банковский троян под названием RedHat. По предварительным данным, вредоносное программное обеспечение имеет китайское происхождение и обладает уникальной способностью использовать искусственный интеллект для управления зараженным устройством.
Особенности работы ИИ-помощника в составе трояна
Главным отличием RedHat от стандартных банковских троянов является встроенная ИИ-модель, которая выполняет роль удаленных «глаз и рук» для злоумышленников. Традиционные программы такого типа требуют жесткого программирования координат интерфейса: хакерам необходимо точно задавать места, где находятся поля ввода пароля или кнопки подтверждения транзакции. При малейшем обновлении дизайна банковского приложения такой вредоносный код перестает работать.
В случае с RedHat троян делает снимок экрана и передает его ИИ-ассистенту. Модель в режиме реального времени анализирует полученное изображение и дает инструкции вредоносному коду, как действовать дальше. По словам специалистов Zimperium, использование нейросети позволяет трояну гибко ориентироваться в интерфейсе, что делает его операции более адаптивными и значительно усложняет обнаружение антивирусными средствами по сравнению с обычными скриптами автоматизации.
Методы распространения и закрепления в системе
RedHat маскируется под банковские инструменты и для своей полноценной работы требует предоставления разрешений специальных возможностей (Accessibility permissions). Получив их, троян создает невидимый наложенный слой поверх легитимных приложений, что позволяет перехватывать учетные данные и одноразовые пароли (OTP), предоставляя атакующим полный контроль над банковскими счетами жертв.
Распространение вредоносного ПО осуществляется через несколько каналов:
- сторонние магазины приложений;
- социальные сети;
- вредоносную рекламу (malvertising);
- рассылки SMS-спама.
Особое внимание эксперты уделяют продвинутым механизмам закрепления трояна в системе. RedHat способен самостоятельно восстанавливать удаленные компоненты и перехватывать процесс деинсталляции. Если пользователь пытается удалить приложение, троян блокирует эту операцию, одновременно демонстрируя на экране фальшивое сообщение об ошибке, чтобы усыпить бдительность владельца смартфона.
На текущий момент информация о конкретных целях киберпреступников и общем количестве пострадавших пользователей остается неизвестной. Анализ показывает, что ИИ-помощник функционирует независимо от оператора трояна, что позволяет инструменту эффективно действовать даже в отсутствие хакеров в режиме реального времени.
Технологическая автономность и принципы работы ИИ
Важной особенностью RedHat является то, что ИИ-ассистент функционирует независимо от оператора вредоносного ПО. Это радикально меняет модель атаки: преступникам больше не нужно находиться в сети в режиме реального времени для выполнения конкретных манипуляций. Система способна принимать решения автономно, что существенно расширяет возможности киберпреступников и автоматизирует кражу данных.
Эволюция методов обхода защиты
Эксперты Zimperium zLabs отмечают, что внедрение ИИ превращает RedHat в качественно новый тип угрозы. Если классические банковские трояны полагаются на жесткие скрипты, которые легко идентифицируются защитным софтом как подозрительная автоматизация, то методы RedHat выглядят значительно естественнее:
- Интеллектуальная навигация: ИИ не просто «кликает» по координатам, а анализирует визуальную структуру интерфейса, имитируя действия реального пользователя.
- Адаптивность к обновлениям: Поскольку нейросеть «видит» экран, любые редизайны банковских приложений больше не требуют от хакеров переписывания кода трояна, что делает поддержку вредоносного ПО гораздо менее трудозатратной.
- Скрытие следов: Возможность перехватывать процесс удаления приложения и подменять его фальшивыми системными ошибками значительно увеличивает среднее время жизни трояна на устройстве жертвы.
Данная архитектура делает RedHat гораздо более скрытным и долговечным инструментом в руках злоумышленников, позволяя им обходить стандартные методы анализа поведения приложений, основанные на выявлении нетипичной активности скриптов.
