Der Weg zur Shell-Ebene ohne externen Rechner erinnert laut Zimperium an Mechanismen, die bereits bei den Android-Familien ToxicPanda und RedHook beobachtet wurden. Über den so gewonnenen ADB-Zugriff installiert RatHat einen in Go geschriebenen Agenten (liblocal-service.so), der Befehle mit ADB-Shell-Rechten ausführt, Umgehungen für Akku-Beschränkungen einrichtet und die Persistenz verwaltet.
Dieser Agent stellt die Schadsoftware wieder her, falls sie entfernt oder gestoppt wird – und schafft damit einen Persistenzkanal, der unabhängig von der Malware selbst funktioniert. Die Absicherung wirkt in beide Richtungen: Wird der Agent gelöscht, stellt ihn die Schadsoftware ihrerseits wieder her. Ein zweiter Agent (libmedia_codec.so) arbeitet als FRP-Reverse-Proxy-Client und hält einen dauerhaften Tunnel zu den Angreifern offen.
Die Datensammlung ist breit angelegt: RatHat blendet HTML-Overlays für gezielt ausgewählte Banking- und Kryptowährungs-Anwendungen ein, um Zugangsdaten abzufangen. Darüber hinaus liest die Schadsoftware SMS-Nachrichten und Benachrichtigungen mit – einschließlich Einmalpasswörtern –, protokolliert Textänderungsereignisse, extrahiert URLs aus der Adressleiste des Browsers und erfasst PINs, Passwörter sowie Entsperrmuster des Sperrbildschirms.
Den eigentlichen Unterschied macht jedoch die KI-Komponente. Weil der Automatisierungsmotor die Oberfläche live auswertet und an einen KI-Assistenten übergibt, ist die Steuerung anpassungsfähiger als rein skriptbasierte Ansätze. “RatHat nutzt KI, um die Geräteoberfläche in Echtzeit intelligent zu navigieren und zu steuern. Das macht die Operationen anpassungsfähiger und für Sicherheitssoftware schwerer zu erkennen als herkömmliche, skriptgesteuerte Automatisierung”, erklärt Zimperium.
Auch gegen die eigene Entfernung wehrt sich die Schadsoftware aktiv: Sie fängt den Bestätigungsdialog der Deinstallation ab, bricht den Vorgang ab und zeigt stattdessen ein gefälschtes Google-Play-Overlay mit einer erfundenen Fehlermeldung an.
Hinzu kommen mehrere Techniken, die die Analyse erschweren sollen. Zimperium nennt Manipulationen am APK-Container, eine künstlich aufgeblähte Android-Manifestdatei von 61 MB sowie ungültige DEX-Pseudo-Instruktionen. Alle drei Kniffe zielen darauf ab, Analysewerkzeuge zu verwirren oder zum Absturz zu bringen.
Als Gegenmaßnahmen empfehlen die Forscher, APK-Dateien nicht aus Quellen außerhalb von Google Play zu beziehen, sofern man dem Herausgeber nicht ausdrücklich vertraut, Apps keine Bedienungshilfen-Berechtigungen zu erteilen und Geräte regelmäßig mit Play Protect zu überprüfen.