RatHat: Schadsoftware lässt eine KI den Bildschirm steuern
Am 16. September hat Zimperiums zLabs RatHat veröffentlicht: einen Android-Banking-Trojaner, der den aktuellen Accessibility-Baum als XML serialisiert, ihn an einen verbreiteten generativen KI-Assistenten schickt und antippt, was das Modell zurückgibt. Die KI steuert den Bildschirm; das Stehlen erledigen klassische Overlays. Für Entwickler ist der Ausbruch der spannendste Teil: Der Trojaner koppelt sich selbst an das Wireless Debugging des Telefons, ganz ohne Computer.
Was RatHat anders macht#
Das Diebeswerkzeug ist nicht neu. Overlay-Injection in Banking-Apps, OTP-Abfangen über SMS- und Benachrichtigungs-Listener, Screen-Streaming, Lockscreen-Erfassung: All das gab es schon, und BleepingComputers Bericht listet für RatHat denselben Katalog auf wie für die Vorgänger.
Neu sind zwei Dinge, und sie kommen kombiniert. Erstens sitzt am Steuer ein generatives Modell statt eines aufgezeichneten Skripts; Zimperium beschreibt den Sprung weg von „statischer, leicht störbarer Automatisierung“ hin zu „adaptiven, KI-gestützten Ausführungsketten“. Zweitens verlässt der ganze Stack die App-Sandbox aus eigener Kraft, über die Entwicklerwerkzeuge des Telefons selbst. Den ADB-Ausbruch gibt es auch in nahen Verwandten; BleepingComputer vergleicht den Mechanismus mit ToxicPanda und RedHook. Der KI-Pilot ist das, was in dieser Vergleichsliste fehlt. Die Betreiber verortet der Report in China, unter anderem wegen der Sprache in den KI-Prompts.
Die Kette im Ganzen#
Die Pipeline hat sechs Phasen, vom Köder bis zum dauerhaften Fußabdruck. Nur eine davon berührt die KI; die Tabelle zeigt welche.
| Phase | Was RatHat tut | Worauf es sich stützt |
|---|---|---|
| Zustellung | Smishing, Malvertising, gefälschte Download-Portale; das Opfer installiert die APK von Hand | Social Engineering, dazu ein Dropper mit vier Anti-Analyse-Schichten, darunter eine 61-MB-Manifest-Bombe |
| Einwilligung | Ein lokalisierter HTML-Köder („wegen Netzwerkbeschränkungen nötig“) führt zur Accessibility-Berechtigung | Die eine Zustimmung, die alles andere frisst |
| Bildschirmsteuerung | Serialisiert den aktuellen Accessibility-Baum als XML, schickt ihn an eine generative KI, setzt die zurückgegebenen Koordinaten, Texte und Scroll-Befehle als synthetische Taps um | Der Accessibility-Dienst, den der Nutzer gerade freigegeben hat |
| Eskalation | Tippt siebenmal auf „Buildnummer“, aktiviert Wireless Debugging, liest den 6-stelligen Kopplungscode und den dynamischen Port aus dem Dialog, authentifiziert sich mit einer eingebauten ADB-Bibliothek | Android vertraut seiner eigenen Oberfläche, und die steuert jetzt die Malware |
| Persistenz | Stattet in /data/local/tmp einen Go-Agenten und einen frpc-Reverse-Proxy aus; Doze-Whitelist, aktiver Standby-Bucket, vergebene Berechtigungen; überlebt die Deinstallation und installiert sich zurück | Shell-Zugriff über den ADB-Daemon, außerhalb des App-Lebenszyklus |
| Diebstahl | WebView-Overlays für Banking-Logins, SMS- und Notification-Listener für OTPs, MediaProjection-Streaming, PIN- und Muster-Rekonstruktion aus rohem Touch-Input | Nichts davon berührt die KI |
Die KI, genau genommen#
Das Modell bekommt den Accessibility-Baum als XML. Zurückgeben darf es drei Sorten von Antwort: die Mittelpunktskoordinaten eines benannten Elements als JSON, den tatsächlichen On-Screen-Text des Elements und Navigationsbefehle wie SCROLL_DOWN. Die Malware macht aus der ersten Sorte synthetische Taps.
Zimperium sagt ausdrücklich, die KI diene „für nicht-bösartige Aktionen“: Navigation, Zielfindung, Scrollen. Sie sucht keine Opfer aus, baut keine Overlays und deutet keine gestohlenen Zugangsdaten. Auch den Hersteller nennt der Report nicht, nur „einen der populärsten generativen KI-Assistenten“; die veröffentlichten Prompt-Screenshots tragen den Teil der Zuordnung.
Wichtig bleibt es trotzdem, und zwar wegen der Wartungskosten in beide Richtungen. Ein aufgezeichneter Klickpfad bricht, sobald eine App einen Button verschiebt. Ein Modell, das den Bildschirm liest, passt sich an; das macht die Automatisierung robust und die Erkennung schwerer, denn eine feste Gestenfolge zum Signieren bleibt nicht übrig. Das ist die eigentliche Neuerung hier, und sie ist eine Architekturentscheidung, kein Forschungsdurchbruch.
Wireless Debugging ist das ignorierte Loch#
Jede Sicherheitsgrenze der Eskalationsphase ist ein Dialogfeld. Der Kopplungscode hat sechs Ziffern und steht auf dem Bildschirm; der Port ist ein Label im selben Dialog; hinter den Entwickleroptionen liegen sieben Taps. Accessibility-Dienste erzeugen Taps und lesen Bildschirme per Design. Wer diese eine Berechtigung erteilt hat, sieht zu, wie der Rest der Kette unbeaufsichtigt gegen eine Oberfläche läuft, die Android als vertrauenswürdig präsentiert.
Der Endzustand verdient langsames Lesen. Der Trojaner lädt seinen ADB-Schlüssel und den aktiven Port zum C2-Server hoch, und ein frpc-Tunnel macht den Port von außen erreichbar. Aus einer Entwicklerfunktion wird eine dauerhafte Fernstraße ins Gerät, und sie überlebt die Deinstallation, weil der Go-Agent in /data/local/tmp außerhalb des Paketlebenszyklus lebt und die App mit zwei settings-Befehlen samt Berechtigungen zurückinstalliert.
Für den Alltag bleibt die Liste langweilig: keine APKs aus Download-Portalen, gelegentlich ein Blick in die Einstellungen unter Accessibility und auf den Wireless-Debugging-Schalter, der ab Werk aus ist und auf einem Alltagstelefon nichts zu suchen hat. Für Gerätechflotten sind beide Zustände reportbar, und RatHat ist der Bericht, der diese Prüfungen rechtfertigt.
Wenn du Zahlungsflüsse baust#
Diese Seite betreibt Dinge wie einen Telegram-Shop-Bot mit Stripe-Checkout, deshalb zählt das Zielfenster. Die OTP, die deine Nutzer eintippen, ernten RatHats Listener; das Login-Formular klonen seine Overlays. Am Server des Shop-Demos ändert das nichts: Beträge bleiben serverseitige Fakten, vom Client gesendete Zahlen bleiben Vorschläge, und Gerätevertrauen gehört hinter Attestation und Anomalieprüfungen der OTP-Häufigkeit, nicht in die App.
KI auf beiden Seiten des Glases#
Dieselbe Woche hat beide Geschichten hervorgebracht: OpenAI legte sechs Vorfälle offen, in denen Modelle ihre Fehler vor den Trainern verbergen, und Zimperium veröffentlichte einen Trojaner, dessen Pilot eine generative KI am Bildschirm ist. Die Konvergenz ist nicht tief. Beide Fälle belohnen dieselbe langweilige Disziplin: minimale Rechte an jeder Grenze, Prüfung von allem, was sie kreuzt, und Logs darüber, was die Automatisierung wirklich getan hat. Für die Labore kommt jetzt dieses Zeugnis. RatHat zeigt, dass dieselbe Disziplin auf jedem Gerät mit KI-Funktion gelten muss, und das Telefon war nie ausgenommen.