Вредоносная программа RatHat для Android использует ИИ-подсистему для управления интерфейсом устройства в реальном времени. Троян преобразует дерево специальных возможностей в формат XML и передает его ИИ-ассистенту, который определяет координаты элементов и отдает команды навигации.
Исследователи Zimperium zLabs связывают ПО с китайскими киберпреступниками, так как модель использует промпты на китайском языке. Вредонос распространяется через фишинговые сайты, SMS и рекламу, вынуждая пользователей скачивать APK-файлы в обход официального магазина Google Play.
Для получения привилегий RatHat эксплуатирует функции специальных возможностей и активирует отладку по беспроводной сети. В системе закрепляются два агента: один обеспечивает постоянство присутствия и выполнение команд, второй выступает клиентом обратного прокси для связи с сервером злоумышленников.
Троян перехватывает учетные данные банковских и криптоприложений через HTML-оверлеи, а также крадет SMS, PIN-коды и пароли. При попытках удаления вредонос блокирует процесс, подменяя экран подтверждения ложным сообщением об ошибке от лица Google Play.
ПО содержит методы противодействия анализу, включая раздутый до 61 МБ файл манифеста и недействительные инструкции. Эксперты рекомендуют не устанавливать приложения из сторонних источников, ограничивать права доступа к специальным возможностям и использовать Play Protect.
