במסך הניהול של מפעילי RatHat כל טלפון נגוע מופיע עם הערכת שווי לידו. את ההערכה מייצר Gemini, מודל הבינה המלאכותית של גוגל, מתוך הודעות ה-SMS שהנוזקה קראה מהמכשיר, והיא ממיינת את הקורבנות לקבוצות לפי כמה כסף כנראה יש להם. חוקרי חברת האבטחה האיטלקית Cleafy, שפרסמו את הניתוח ב-28 בספטמבר, מדגישים שבאף אחת מהדגימות שבדקו המודל אינו מזיז כסף בפועל. התפקיד שלו הוא להחליט על מי מהקורבנות שווה למפעיל לבזבז את הזמן.

מה קרה

RatHat היא נוזקה בנקאית לאנדרואיד, כלומר אפליקציה שכל מטרתה להגיע לחשבון הבנק שבטלפון. לפי Cleafy הנוזקה עצמה כמעט לא השתנתה מאז סוף 2025, אבל מערכת השליטה שמאחוריה הוחלפה כולה ועברה שלושה דורות בחצי שנה: גרסה ראשונה שקראה לעצמה BlackCat, ואחריה שתיים בשם Panda Workshop. החוקרים איתרו קרוב למאה התקנות נפרדות של הפאנל מאז אפריל, מה שמתאים למודל שבו מישהו בונה את הנוזקה ומשכיר אותה ללקוחות, וכל לקוח מפעיל עותק משלו. הקמפיינים שזוהו רצו במקביל באירופה, באמריקה הלטינית ובדרום-מזרח אסיה.

הפאנל הוא גם בית חרושת. ממנו המפעיל בונה את האפליקציה, מחביא אותה בתוך משהו שנראה תמים, חותם אותה ומעלה אותה לשרת, בלי לגעת בתשתית האחסון בעצמו. אפשר גם להגדיר לו לבנות את האפליקציה מחדש כל שעה, כדי שכלי אבטחה שמזהים נוזקה לפי חתימת הקובץ יקבלו בכל פעם קובץ חדש מאותה נוזקה בדיוק.

החלק המעניין קורה על הטלפון עצמו. הנוזקה מגיעה דרך הודעת SMS או מודעה שמובילות לאתר הורדה חיצוני, ואחרי ההתקנה היא מבקשת הרשאת נגישות, ההרשאה שמאפשרת לאפליקציה לקרוא את המסך וללחוץ במקום המשתמש. עם ההרשאה הזאת ביד היא מדליקה בעצמה את ניפוי השגיאות האלחוטי של אנדרואיד, קוראת מהמסך את קוד ההתאמה שמוצג שם, ומתחברת דרכו ל-ADB, כלי פיתוח מובנה במערכת. מה שהיא מקבלת בסוף הוא shell, ממשק פקודות שרץ מחוץ להרשאות שהמשתמש נתן לאפליקציה. הנוזקה, בקיצור, מחלקת לעצמה גישה שאיש לא אישר לה.

למה זה חשוב לכם

שתי נקודות חורגות מהסיפור הטכני. הראשונה היא שמחיקת האפליקציה לא מספיקה: התוכנית הנפרדת שהנוזקה מתקינה דרך ה-shell ממשיכה לרוץ גם אחרי שהאפליקציה נמחקה, עד האתחול הבא של הטלפון, ולפי דוח קודם של Zimperium היא גם יודעת להתקין את האפליקציה מחדש ולהחזיר לה את הרשאת הנגישות. השנייה היא שגרסת אנדרואיד משנה כאן ממש. הכלים שמאפשרים למפעיל לצפות במסך בלי התראה ובלי סמל הקלטה אינם עובדים על אנדרואיד 14 ומעלה, ושם הצפייה חוזרת לדרך שמבקשת אישור מהמשתמש ומדליקה סמל. אנדרואיד הוא מערכת ההפעלה של רוב הטלפונים בישראל, והנתיב שדרכו הנוזקה נכנסת, קישור בהודעה, הוא בדיוק הנתיב שכולם כבר מכירים מהונאות המשלוחים והקנסות.

מה עושים?

התקינו אפליקציות רק מחנות Play. קישור שמגיע בהודעה או במודעה ומוביל להורדת קובץ APK אינו קיצור דרך לחנות, הוא כל המתקפה.

היכנסו להגדרות, נגישות, ועברו על הרשימה. אפליקציה שאתם לא מזהים שם, או אפליקציה רגילה שביקשה את ההרשאה בלי שיש לה סיבה, כבו לה אותה.

אם אתם חושדים שהמכשיר נגוע, מחקו את האפליקציה החשודה ומיד אחר כך אתחלו את הטלפון. האתחול הוא מה שעוצר את התוכנית שנשארת מאחור. מכשיר שממשיך להתנהג מוזר גם אחרי זה מצדיק איפוס להגדרות יצרן.

עדכנו את אנדרואיד לגרסה האחרונה שהיצרן שלכם מציע.

שווה לשים לב מה בדיוק אושר כאן בידי המשתמש: הרשאת נגישות אחת. את כל השאר הנוזקה לקחה לבד.