Ancaman malware terhadap perangkat Android kembali meningkat dengan hadirnya RatHat, trojan yang memanfaatkan kecerdasan buatan (AI) untuk mencuri informasi sensitif.
Malware ini membidik kredensial perbankan, PIN, kode OTP, hingga data autentikasi lainnya melalui serangan yang dirancang menghindari deteksi.
Peneliti keamanan dari Zimperium zLabs menganalisis RatHat dan menemukan kemampuan yang membedakannya dari banyak malware seluler lain.
Alih-alih hanya menjalankan instruksi tetap, RatHat menggunakan AI untuk menentukan tindakan pada layar, termasuk lokasi ketukan dan gerakan menggulir.
Pendekatan itu membuat pola serangan berubah mengikuti kondisi perangkat, sehingga sistem keamanan berbasis pencocokan tanda tangan malware atau aturan konvensional berpotensi lebih sulit mengenali aktivitas berbahaya ini.
Cara Infeksi dan Penyalahgunaan Izin
Infeksi RatHat dimulai melalui rekayasa sosial, misalnya pesan SMS phishing atau iklan berbahaya yang mengarahkan korban ke halaman unduhan palsu.
Halaman tersebut menyamarkan aplikasi berbahaya sebagai layanan streaming populer atau peramban seperti Chrome.
Pengguna kemudian diarahkan mengunduh dan memasang berkas APK secara manual, di luar toko aplikasi resmi.
Setelah terpasang, RatHat berusaha memperoleh izin Accessibility Service dengan alasan menyesatkan, seperti klaim pembatasan jaringan atau tawaran keuntungan finansial palsu.
Jika izin diberikan, malware menyalahgunakan aksesibilitas untuk menjalankan tindakan tertentu pada perangkat.
RatHat juga mengaktifkan Wireless Debugging secara diam-diam dan membaca kode pemasangan enam digit yang tampil di layar.
Informasi itu dipakai untuk menghubungkan perangkat dengan server penyerang tanpa interaksi manusia pada tahap koneksi.
Mekanisme ini memanfaatkan Android Debug Bridge (ADB), perangkat yang sebenarnya disediakan untuk membantu pengembang melakukan pengujian dan pengelolaan perangkat Android.
Penyalahgunaan ADB memungkinkan RatHat melampaui batas lingkungan aplikasi normal atau sandbox, sehingga memperluas kendalinya terhadap perangkat yang telah disusupi.
Metode Pencurian Data dan Pengendalian Perangkat
Setelah memperoleh akses, RatHat memasang dua komponen tersembunyi dengan fungsi berbeda.
Komponen pertama berupa agen berbasis Go yang menjalankan perintah sistem dengan hak istimewa tinggi.
Komponen kedua merupakan klien proksi terbalik yang membangun saluran komunikasi berkelanjutan menuju server penyerang.
Saluran ini dirancang untuk melewati firewall dan mekanisme penerjemahan alamat jaringan atau NAT.
Untuk mengambil informasi keuangan, RatHat menampilkan antarmuka palsu di atas aplikasi keuangan yang digunakan korban.
Tampilan tiruan tersebut dapat merekam nama pengguna, kata sandi, kode OTP, serta kode autentikasi multifaktor (MFA) yang dimasukkan.
Ancaman lain berasal dari kemampuannya memperoleh koordinat sentuhan langsung melalui pengandar masukan perangkat.
Koordinat itu kemudian dicocokkan dengan basis data tata letak papan tombol untuk menyusun kembali PIN dan pola kunci layar.
Teknik tersebut memungkinkan RatHat mengungkap informasi berdasarkan posisi sentuhan, bukan semata-mata membaca isi layar.
Karena itu, pendekatan ini dapat melewati perlindungan yang dirancang untuk mencegah pembacaan layar oleh aplikasi berbahaya.
Selain mencuri kredensial, RatHat mampu mencegat pesan SMS dan mengendalikan perangkat secara semiotonom dengan bantuan layanan AI.
Malware ini juga mempunyai mekanisme untuk memulihkan keberadaannya setelah dihapus melalui cara biasa, berkat program tersembunyi yang tetap berjalan di latar belakang.
Cara Melindungi Android dari RatHat
Risiko infeksi RatHat berkaitan erat dengan pemasangan aplikasi dari sumber tidak resmi serta pemberian izin aksesibilitas secara sembarangan.
Pengguna dapat mengurangi paparan terhadap ancaman ini dengan memperhatikan sumber aplikasi dan akses yang diminta.
Unduh aplikasi hanya melalui Google Play atau toko aplikasi resmi lain yang tepercaya.
Hindari memasang berkas APK dari halaman yang tidak jelas asal-usulnya.
Periksa setiap permintaan Accessibility Service.
Waspadai aplikasi yang meminta akses tersebut tanpa alasan yang sesuai dengan fungsi utamanya.
Pertimbangkan penggunaan Advanced Protection Mode di Android, yang membatasi aplikasi yang dapat meminta izin aksesibilitas.
Biarkan Developer Options dan Wireless Debugging tetap nonaktif apabila tidak diperlukan.
Jangan mengaktifkan fitur tersebut hanya karena diminta aplikasi yang tidak dikenal.
Jika perangkat diduga terinfeksi RatHat, lakukan pengaturan ulang ke setelan pabrik atau factory reset.
Langkah ini disarankan karena mekanisme persistensi malware dapat membuat penghapusan aplikasi biasa tidak memadai.
RatHat memperlihatkan bagaimana AI dapat dimanfaatkan untuk mengubah cara malware berinteraksi dengan perangkat korban.
Kemampuan mengambil keputusan berdasarkan kondisi layar, dikombinasikan dengan penyalahgunaan layanan Android, membuat ancaman ini lebih kompleks dibandingkan serangan yang hanya bergantung pada instruksi tetap.
Kehati-hatian saat memasang aplikasi dan memberikan izin menjadi bagian penting dari perlindungan perangkat.
Pengguna Android perlu mewaspadai permintaan akses yang tidak relevan, terutama ketika aplikasi berasal dari luar toko resmi atau meminta pengaktifan fitur pengembang tanpa alasan yang jelas.
