Hoe RatHat android-malware te verwijderen

Wat voor soort malware is RatHat?

RatHat is een Android Remote Access Trojan (RAT) die in verband wordt gebracht met kwaadwillenden waarvan wordt aangenomen dat zij in China opereren. Volgens onderzoek dat is gepubliceerd door het zLabs-team van Zimperium, combineert het AI-gestuurde automatisering, keylogging op hardwareniveau en geavanceerde anti-analysebeschermingen om bankgegevens te stelen en aanhoudende controle op afstand over geïnfecteerde apparaten te behouden.

RatHat-malware overzicht

RatHat werd ontdekt door het zLabs-team van Zimperium, dat het identificeerde als een geavanceerde Android-RAT met banden met in China gevestigde operators. Het wordt voornamelijk verspreid via smishing-campagnes en malvertising die slachtoffers naar downloadportalen van derden leiden waar kwaadaardige APK-bestanden worden gehost die zich voordoen als legitieme applicaties. Een van deze sites, kingbss[.]com, promoot de malware als een snelle en "veilige" app genaamd Nexus One.

In sommige builds verbergt de app zich achter het pictogram en de naam van een bekende streamingdienst (het onderzoeksdiagram toont Disney+- en ZEE5-lokmiddelen), en de operator kan later het pictogram wijzigen naar een met het label "Chrome". Eenmaal geïnstalleerd, vraagt RatHat toegang tot de Accessibility Service van Android.

De app gebruikt gelokaliseerde HTML-lokpagina's, waaronder beweringen dat de toestemming nodig is vanwege netwerkbeperkingen, om de gebruiker te overtuigen toegang te verlenen. In sommige landen bevat het lokmiddel ook financieel aas. Deze ene toestemming wordt de enabler voor bijna elke kwaadaardige mogelijkheid die volgt.

Met Accessibility-toegang op zijn plaats navigeert de malware stilletjes door de apparaatinstellingen om Ontwikkelaarsopties te ontgrendelen en Draadloze foutopsporing in te schakelen. Vervolgens leest het de gegenereerde koppelingscode en poort rechtstreeks van de UI op het scherm, en gebruikt het een ingebouwde ADB-bibliotheek om zichzelf te koppelen aan de eigen Android Debug Bridge-daemon van het apparaat. Het resultaat is toegang op shellniveau tot het apparaat, volledig verkregen zonder een externe computer.

Vanuit die geprivilegieerde shell zet RatHat twee extra componenten op. De eerste is een Go-taal-agent, vermomd als een native bibliotheek genaamd liblocal-service.so, die fungeert als een command-and-control-uitvoerder die geprivilegieerde systeemcommando's kan uitvoeren. De tweede is een reverse proxy-client, vermomd als libmedia_codec.so, die een permanente versleutelde tunnel naar de server van de aanvaller opzet.

Een van de meest onderscheidende kenmerken van RatHat is het gebruik van generatieve AI voor navigatie op het apparaat. De malware converteert de live Accessibility-boom van het apparaat naar XML en verstuurt deze naar Google Gemini, dat reageert met nauwkeurige schermcoördinaten voor synthetische taps en scrollcommando's. Deze adaptieve benadering is voor beveiligingstools moeilijker te herkennen dan traditionele, gescripte automatisering.

De AI-prompts die in de malware zijn ingebouwd, zijn in het Chinees geschreven, wat een van de indicatoren is die wijzen op in China gevestigde operators. Een van deze prompts vraagt de AI bijvoorbeeld om de knop "Pair device with pairing code" in het menu Draadloze foutopsporing te lokaliseren, zodat de malware erop kan tikken zonder menselijke input.

Diefstal van inloggegevens werkt via drie parallelle methoden. De overlay-engine injecteert nep-HTML-inlogschermen over gerichte bank- en betaalapplicaties, waarbij alles wat erin wordt getypt wordt vastgelegd. Voorbeelden die door de onderzoekers worden getoond zijn onder meer een neppe Bank of America-inlogpagina en een Russischtalig bank-PIN-scherm.

WeChat- en Alipay-gebruikers worden aangevallen met afzonderlijke, Chineestalige "identiteitsverificatie"-schermen die vragen om de zescijferige betaal-PIN. Deze overlays zijn rechtstreeks in de code van de malware ingebouwd in plaats van gedownload van de server van de aanvaller.

Een tweede methode gebruikt de Accessibility Service om getypte tekst te reconstrueren uit gebeurtenissen op het scherm, inclusief gemaskeerde wachtwoordvelden. De derde methode leest ruwe aanraakcoördinaten uit de invoerdriver van het apparaat via de getevent-tool, een benadering die normaal gesproken beperkt is tot processen op shellniveau.

De malware koppelt die aanraakcoördinaten aan opgeslagen toetsenbordindelingskaarten voor grote telefoonmerken, waarbij pincodes, ontgrendelpatronen en wachtwoorden worden gereconstrueerd. Deze techniek omzeilt FLAG_SECURE-beperkingen, aangepaste toetsenborden en vergrendelschermbeveiligingen die de andere twee methoden volledig zouden blokkeren.

RatHat onderschept ook sms-berichten en pushmeldingen om tweefactorauthenticatie-codes vast te leggen. Het streamt het scherm van het apparaat via twee onafhankelijke kanalen: een via de standaard MediaProjection-API en een via de Go-agent op shellniveau die geen toestemmingsdialoogvenster van de gebruiker vereist. Een volledig overzicht van geïnstalleerde apps wordt naar de aanvaller geüpload, en bestanden kunnen in beide richtingen worden overgedragen.

De Go-agent kan andere pakketten, waaronder beveiligingssoftware, stilletjes uitschakelen of volledig verwijderen met behulp van standaard Android-pakketbeheercommando's. Het stelt de malware ook vrij van batterijoptimalisatie en plaatst deze in de stand-bybucket met de hoogste prioriteit, zodat deze zonder onderbreking op de achtergrond blijft draaien.

De persistentie overleeft de verwijdering. De Go-agent draait buiten de levenscyclus van de hoofdapp, dus het verwijderen van de app verwijdert de agent niet. De agent detecteert de ontbrekende app en herinstalleert automatisch de APK, verleent alle runtime-toestemmingen opnieuw, en schakelt Accessibility opnieuw in zonder enige interactie op het scherm.

De hoofdapp onderschept afzonderlijk het bevestigingsdialoogvenster voor verwijdering en legt er een neppe Google Play-foutmelding overheen om de verwijdering te annuleren voordat deze is voltooid. Aanvullende keep-alive-trucs, zoals geplande alarmen, accountsynchronisatie en een native watchdog, herstarten de componenten als ze worden gestopt.

Anti-analysebeveiligingen omvatten vier structurele lagen. De dropper versleutelt zijn payload met behulp van XOR-transformaties en GZIP-compressie. Het AndroidManifest van de APK is opgeblazen tot 61MB met ongedocumenteerde datablokken die de meeste decompilers laten crashen. DEX-bytecodevergiftiging zorgt ervoor dat disassemblers mislukken, en een dubbel string-encryptieschema verhult alle leesbare strings in rusttoestand.

Zes runtime anti-debugging-controles detecteren JDWP-debuggers, ptrace-koppeling, het Frida-instrumentatieframework, Xposed-modules, root-indicatoren en emulator-artefacten. De meeste geautomatiseerde analyseomgevingen crashen ofwel op het misvormde manifest of worden tijdens runtime actief gedetecteerd en vermeden.

Samengevat kan de aanwezigheid van software zoals RatHat op een apparaat leiden tot meerdere systeeminfecties, ernstige privacyschendingen, financiële verliezen en identiteitsdiefstal. Het is de moeite waard om op te merken dat malware-ontwikkelaars hun software en methodologieën vaak verbeteren. Daarom kunnen mogelijke toekomstige iteraties van RatHat aanvullende of andere functionaliteiten en kenmerken hebben.

Voorbeelden van Remote Access Trojans

RatHat onderscheidt zich onder Android-RAT's door zijn AI-ondersteunde navigatie, PIN-vastlegging op hardwareniveau en meertraps-persistentie die zichzelf actief herinstalleert na verwijdering. Deze mogelijkheden maken het een ernstige en veerkrachtige bedreiging voor gebruikers van bank- en betaalapplicaties, met de mogelijkheid van ernstige en blijvende financiële schade.

Andere voorbeelden van Remote Access Trojans die zich op Android richten zijn Night Dragon, Flying Eagle en Glitch SPY. Malware van dit soort is doorgaans ontworpen om aanvallers langdurige, heimelijke toegang te geven tot de apparaten van slachtoffers en de gevoelige gegevens die daarop zijn opgeslagen.

Hoe is RatHat mijn apparaat binnengedrongen?

RatHat verspreidt zich voornamelijk via misleidende sms-berichten met links naar phishing-sites, en via malvertising-campagnes die gebruikers omleiden naar downloadportalen van derden. Deze portalen hosten kwaadaardige APK-bestanden die zich voordoen als populaire streaming-apps of andere legitieme software. Een pagina gehost op kingbss[.]com biedt bijvoorbeeld een zogenaamd snelle en stabiele app genaamd Nexus One aan, met een grote "Download Now"-knop die de malware levert.

Slachtoffers die de APK sideloaden buiten de officiële Google Play Store omzeilen het ingebouwde app-beoordelingsproces van Android. De dropper vraagt vervolgens Accessibility-toestemmingen aan met behulp van overtuigende, gelokaliseerde prompts op het scherm, en de volledige infectieketen verloopt stilletjes op de achtergrond zodra die toestemming is verleend.

Hoe kan installatie van malware worden voorkomen?

Download applicaties alleen van de officiële Google Play Store en verifieer de details van de uitgever en gebruikersbeoordelingen voordat u iets installeert. Wees voorzichtig met links die via sms binnenkomen, vooral die welke u naar een APK-bestand op een onbekende website leiden om te downloaden.

Houd uw Android-besturingssysteem en alle geïnstalleerde applicaties regelmatig bijgewerkt. Draai betrouwbare mobiele beveiligingssoftware op uw apparaat en let goed op toestemmingsverzoeken. Een app die toegang tot de Accessibility Service vraagt zonder een duidelijke, legitieme reden is een sterk waarschuwingssignaal.

Misleidende website (kingbss[.]com) die RatHat promoot als de "Nexus One"-app (bron: Zimperium):

RatHat-nepoverlays gericht op Bank of America en een Russischtalige bank-app (bron: Zimperium):

Snelmenu:

• Introductie
• Hoe verwijder ik de browsegeschiedenis uit de Chrome-webbrowser?
• Hoe schakel ik browsermeldingen uit in de Chrome-webbrowser?
• Hoe reset ik de Chrome-webbrowser?
• Hoe verwijder ik de browsegeschiedenis uit de Firefox-webbrowser?
• Hoe schakel ik browsermeldingen uit in de Firefox-webbrowser?
• Hoe reset ik de Firefox-webbrowser?
• Hoe verwijder ik potentieel ongewenste en/of kwaadaardige applicaties?
• Hoe start ik het Android-apparaat op in "Veilige modus"?
• Hoe controleer ik het batterijgebruik van verschillende applicaties?
• Hoe controleer ik het datagebruik van verschillende applicaties?
• Hoe installeer ik de nieuwste software-updates?
• Hoe reset ik het systeem naar de standaardstatus?
• Hoe schakel ik applicaties uit die beheerdersrechten hebben?

Verwijder de browsegeschiedenis uit de Chrome-webbrowser:

Tik op de "Menu"-knop (drie stippen in de rechterbovenhoek van het scherm) en selecteer "Geschiedenis" in het geopende dropdownmenu.

Tik op "Browsegegevens wissen", selecteer het tabblad "GEAVANCEERD", kies het tijdsbereik en de gegevenstypen die u wilt verwijderen en tik op "Gegevens wissen".

[Terug naar de inhoudsopgave]

Schakel browsermeldingen uit in de Chrome-webbrowser:

Tik op de "Menu"-knop (drie stippen in de rechterbovenhoek van het scherm) en selecteer "Instellingen" in het geopende dropdownmenu.

Scroll naar beneden totdat u de optie "Site-instellingen" ziet en tik erop. Scroll naar beneden totdat u de optie "Meldingen" ziet en tik erop.

Zoek de websites die browsermeldingen bezorgen, tik erop en klik op "Wissen en resetten". Dit verwijdert de toestemmingen die aan deze websites zijn verleend om meldingen te bezorgen. Wanneer u dezelfde site echter opnieuw bezoekt, kan deze opnieuw om toestemming vragen. U kunt kiezen of u deze toestemmingen geeft of niet (als u ervoor kiest om te weigeren, gaat de website naar het gedeelte "Geblokkeerd" en zal deze u niet langer om toestemming vragen).

[Terug naar de inhoudsopgave]

Reset de Chrome-webbrowser:

Ga naar "Instellingen", scroll naar beneden totdat u "Apps" ziet en tik erop.

Scroll naar beneden totdat u de "Chrome"-applicatie vindt, selecteer deze en tik op de optie "Opslag".

Tik op "OPSLAG BEHEREN", vervolgens op "ALLE GEGEVENS WISSEN" en bevestig de actie door op "OK" te tikken. Houd er rekening mee dat het resetten van de browser alle daarin opgeslagen gegevens elimineert. Dit betekent dat alle opgeslagen logins/wachtwoorden, browsegeschiedenis, niet-standaardinstellingen en andere gegevens worden verwijderd. U zult ook opnieuw moeten inloggen op alle websites.

[Terug naar de inhoudsopgave]

Verwijder de browsegeschiedenis uit de Firefox-webbrowser:

Tik op de "Menu"-knop (drie stippen in de rechterbovenhoek van het scherm) en selecteer "Geschiedenis" in het geopende dropdownmenu.

Scroll naar beneden totdat u "Privégegevens wissen" ziet en tik erop. Selecteer de gegevenstypen die u wilt verwijderen en tik op "GEGEVENS WISSEN".

[Terug naar de inhoudsopgave]

Schakel browsermeldingen uit in de Firefox-webbrowser:

Bezoek de website die browsermeldingen bezorgt, tik op het pictogram dat links van de URL-balk wordt weergegeven (het pictogram zal niet noodzakelijkerwijs een "Slot" zijn) en selecteer "Site-instellingen bewerken".

Vink in het geopende pop-upvenster de optie "Meldingen" aan en tik op "WISSEN".

[Terug naar de inhoudsopgave]

Reset de Firefox-webbrowser:

Ga naar "Instellingen", scroll naar beneden totdat u "Apps" ziet en tik erop.

Scroll naar beneden totdat u de "Firefox"-applicatie vindt, selecteer deze en tik op de optie "Opslag".

Tik op "GEGEVENS WISSEN" en bevestig de actie door op "VERWIJDEREN" te tikken. Houd er rekening mee dat het resetten van de browser alle daarin opgeslagen gegevens elimineert. Dit betekent dat alle opgeslagen logins/wachtwoorden, browsegeschiedenis, niet-standaardinstellingen en andere gegevens worden verwijderd. U zult ook opnieuw moeten inloggen op alle websites.

[Terug naar de inhoudsopgave]

Verwijder potentieel ongewenste en/of kwaadaardige applicaties:

Ga naar "Instellingen", scroll naar beneden totdat u "Apps" ziet en tik erop.

Scroll naar beneden totdat u een potentieel ongewenste en/of kwaadaardige applicatie ziet, selecteer deze en tik op "Verwijderen". Als u om een of andere reden de geselecteerde app niet kunt verwijderen (bijv. u krijgt een foutmelding), moet u proberen de "Veilige modus" te gebruiken.

[Terug naar de inhoudsopgave]

Start het Android-apparaat op in "Veilige modus":

De "Veilige modus" in het Android-besturingssysteem schakelt tijdelijk alle applicaties van derden uit. Het gebruik van deze modus is een goede manier om verschillende problemen te diagnosticeren en op te lossen (bijv. kwaadaardige applicaties verwijderen die gebruikers verhinderen dit te doen wanneer het apparaat "normaal" draait).

Druk op de "Aan/uit"-knop en houd deze ingedrukt totdat u het "Uitschakelen"-scherm ziet. Tik op het "Uitschakelen"-pictogram en houd het ingedrukt. Na een paar seconden verschijnt de optie "Veilige modus" en kunt u deze uitvoeren door het apparaat opnieuw op te starten.

[Terug naar de inhoudsopgave]

Controleer het batterijgebruik van verschillende applicaties:

Ga naar "Instellingen", scroll naar beneden totdat u "Apparaatonderhoud" ziet en tik erop.

Tik op "Batterij" en controleer het gebruik van elke applicatie. Legitieme/echte applicaties zijn ontworpen om zo weinig mogelijk energie te gebruiken om de beste gebruikerservaring te bieden en energie te besparen. Daarom kan een hoog batterijgebruik erop wijzen dat de applicatie kwaadaardig is.

[Terug naar de inhoudsopgave]

Controleer het datagebruik van verschillende applicaties:

Ga naar "Instellingen", scroll naar beneden totdat u "Verbindingen" ziet en tik erop.

Scroll naar beneden totdat u "Datagebruik" ziet en selecteer deze optie. Net als bij de batterij zijn legitieme/echte applicaties ontworpen om het datagebruik zoveel mogelijk te minimaliseren. Dit betekent dat een enorm datagebruik kan wijzen op de aanwezigheid van een kwaadaardige applicatie. Houd er rekening mee dat sommige kwaadaardige applicaties mogelijk zijn ontworpen om alleen te werken wanneer het apparaat is verbonden met een draadloos netwerk. Om deze reden moet u zowel het mobiele als het wifi-datagebruik controleren.

Als u een applicatie vindt die veel data gebruikt, ook al gebruikt u deze nooit, dan raden wij u ten zeerste aan deze zo snel mogelijk te verwijderen.

[Terug naar de inhoudsopgave]

Installeer de nieuwste software-updates:

Het up-to-date houden van de software is een goede gewoonte als het gaat om de veiligheid van het apparaat. De fabrikanten van apparaten brengen voortdurend verschillende beveiligingspatches en Android-updates uit om fouten en bugs te verhelpen die door cybercriminelen kunnen worden misbruikt. Een verouderd systeem is veel kwetsbaarder, en daarom moet u er altijd voor zorgen dat de software van uw apparaat up-to-date is.

Ga naar "Instellingen", scroll naar beneden totdat u "Software-update" ziet en tik erop.

Tik op "Updates handmatig downloaden" en controleer of er updates beschikbaar zijn. Zo ja, installeer deze dan onmiddellijk. Wij raden ook aan om de optie "Updates automatisch downloaden" in te schakelen - hiermee kan het systeem u op de hoogte stellen zodra er een update wordt uitgebracht en/of deze automatisch installeren.

[Terug naar de inhoudsopgave]

Reset het systeem naar de standaardstatus:

Het uitvoeren van een "Fabrieksreset" is een goede manier om alle ongewenste applicaties te verwijderen, de systeeminstellingen terug te zetten naar de standaard en het apparaat in het algemeen op te schonen. U moet er echter rekening mee houden dat alle gegevens op het apparaat worden verwijderd, inclusief foto's, video-/audiobestanden, telefoonnummers (opgeslagen op het apparaat, niet de simkaart), sms-berichten, enzovoort. Met andere woorden, het apparaat wordt teruggezet naar zijn oorspronkelijke staat.

U kunt ook de basissysteeminstellingen en/of eenvoudigweg de netwerkinstellingen herstellen.

Ga naar "Instellingen", scroll naar beneden totdat u "Over de telefoon" ziet en tik erop.

Scroll naar beneden totdat u "Resetten" ziet en tik erop. Kies nu de actie die u wilt uitvoeren:
"Instellingen resetten" - alle systeeminstellingen terugzetten naar de standaard;
"Netwerkinstellingen resetten" - alle netwerkgerelateerde instellingen terugzetten naar de standaard;
"Fabrieksinstellingen terugzetten" - het hele systeem resetten en alle opgeslagen gegevens volledig verwijderen;

[Terug naar de inhoudsopgave]

Schakel applicaties uit die beheerdersrechten hebben:

Als een kwaadaardige applicatie beheerdersrechten krijgt, kan deze het systeem ernstig beschadigen. Om het apparaat zo veilig mogelijk te houden, moet u altijd controleren welke apps dergelijke rechten hebben en degene uitschakelen die dat niet zouden moeten hebben.

Ga naar "Instellingen", scroll naar beneden totdat u "Vergrendelscherm en beveiliging" ziet en tik erop.

Scroll naar beneden totdat u "Andere beveiligingsinstellingen" ziet, tik erop en tik vervolgens op "Apparaatbeheer-apps".

Identificeer applicaties die geen beheerdersrechten zouden moeten hebben, tik erop en tik vervolgens op "DEACTIVEREN".

Veelgestelde vragen (FAQ)

Mijn Android-apparaat is geïnfecteerd met RatHat-malware, moet ik mijn opslagapparaat formatteren om ervan af te komen?

Formatteren is zelden noodzakelijk. Het draaien van een betrouwbare mobiele beveiligingstool zoals Combo Cleaner zou RatHat in de meeste gevallen moeten detecteren en elimineren. Dat gezegd hebbende, de Go-agent van RatHat is ontworpen om standaard app-verwijdering te overleven, dus een fabrieksreset kan de veiligste optie zijn als geautomatiseerde verwijdering niet lukt.

Wat zijn de grootste problemen die RatHat-malware kan veroorzaken?

RatHat kan bank- en betaalgegevens stelen via neppe inlogoverlays, Accessibility-gebaseerde keylogging en PIN-vastlegging op hardwareniveau uit ruwe aanraakcoördinaten. Het onderschept ook tweefactorauthenticatie-codes en geeft aanvallers permanente externe controle op shellniveau over het apparaat.

Slachtoffers kunnen te maken krijgen met ongeautoriseerde financiële transacties, leeggehaalde bankrekeningen, identiteitsdiefstal en voortdurende bewaking van alle apparaatactiviteit, zelfs nadat de hoofdapp lijkt te zijn verwijderd.

Wat is het doel van RatHat-malware?

De meeste malware-aanvallen worden gedreven door winst. RatHat is specifiek gebouwd om bank- en betaalgegevens te oogsten voor financiële fraude. De mogelijkheden voor externe controle kunnen echter ook worden gebruikt voor spionage, bewaking of ontwrichting buiten directe diefstal.

Hoe is RatHat-malware mijn Android-apparaat binnengedrongen?

RatHat wordt doorgaans geleverd via misleidende sms-berichten met links naar phishing-sites, of via malvertising die gebruikers omleidt naar downloadportalen van derden. Deze portalen bieden APK-bestanden aan die zich voordoen als legitieme apps die gebruikers handmatig installeren buiten de officiële app store.

Zal Combo Cleaner mij beschermen tegen malware?

Combo Cleaner kan bijna alle bekende malware-infecties detecteren en elimineren. Het uitvoeren van een volledige systeemscan is essentieel, aangezien geavanceerde bedreigingen zoals RatHat meerdere anti-analyselagen gebruiken en componenten buiten de standaard app-levenscyclus draaien om zich zo diep mogelijk in het apparaat te verbergen.