So werden Sie die RatHat-Android-Malware los

Was für eine Malware ist RatHat?

RatHat ist ein Android-Remote Access Trojan (RAT), der mit Bedrohungsakteuren in Verbindung gebracht wird, die vermutlich in China operieren. Laut einer Studie, die vom zLabs-Team von Zimperium veröffentlicht wurde, kombiniert er KI-gesteuerte Automatisierung, Keylogging auf Hardware-Ebene und ausgeklügelte Anti-Analyse-Schutzmechanismen, um Bankdaten zu stehlen und die dauerhafte Fernsteuerung infizierter Geräte aufrechtzuerhalten.

Überblick über die RatHat-Malware

RatHat wurde vom zLabs-Team von Zimperium aufgedeckt, das es als hochentwickelten Android-RAT mit Verbindungen zu in China ansässigen Betreibern identifizierte. Es wird hauptsächlich über Smishing-Kampagnen und Malvertising verbreitet, die Opfer zu Download-Portalen von Drittanbietern leiten, auf denen bösartige APK-Dateien als legitime Anwendungen getarnt gehostet werden. Eine solche Website, kingbss[.]com, bewirbt die Malware als schnelle und „sichere" App namens Nexus One.

In einigen Versionen verbirgt sich die App hinter dem Symbol und dem Namen eines bekannten Streaming-Dienstes (das Forschungsdiagramm zeigt Disney+- und ZEE5-Köder), und der Betreiber kann das Symbol später in eines mit der Bezeichnung „Chrome" ändern. Nach der Installation fordert RatHat Zugriff auf den Accessibility Service von Android an.

Die App verwendet lokalisierte HTML-Köderseiten, einschließlich Behauptungen, dass die Berechtigung aufgrund von Netzwerkbeschränkungen erforderlich sei, um den Benutzer zur Gewährung des Zugriffs zu bewegen. In einigen Ländern lockt der Köder auch mit finanziellen Ködern. Diese einzige Berechtigung wird zum Wegbereiter für nahezu jede bösartige Funktion, die folgt.

Mit dem Accessibility-Zugriff navigiert die Malware unbemerkt durch die Geräteeinstellungen, um die Entwickleroptionen freizuschalten und das drahtlose Debugging zu aktivieren. Anschließend liest sie den generierten Kopplungscode und Port direkt aus der Bildschirm-UI aus und verwendet eine eingebettete ADB-Bibliothek, um sich selbst mit dem geräteeigenen Android Debug Bridge-Daemon zu koppeln. Das Ergebnis ist ein Shell-Zugriff auf das Gerät, der vollständig ohne externen Computer erlangt wird.

Von dieser privilegierten Shell aus platziert RatHat zwei zusätzliche Komponenten. Die erste ist ein in Go geschriebener Agent, getarnt als native Bibliothek namens liblocal-service.so, der als Command-and-Control-Ausführer fungiert und in der Lage ist, privilegierte Systembefehle auszuführen. Die zweite ist ein Reverse-Proxy-Client, getarnt als libmedia_codec.so, der einen dauerhaften verschlüsselten Tunnel zurück zum Server des Angreifers aufbaut.

Eines der markantesten Merkmale von RatHat ist die Verwendung von generativer KI für die Navigation auf dem Gerät. Die Malware wandelt den Live-Accessibility-Baum des Geräts in XML um und sendet ihn an Google Gemini, das mit präzisen Bildschirmkoordinaten für synthetische Tipp- und Scroll-Befehle antwortet. Dieser adaptive Ansatz ist für Sicherheitstools schwerer zu erkennen als herkömmliche, skriptbasierte Automatisierung.

Die in der Malware eingebetteten KI-Prompts sind auf Chinesisch verfasst, was einer der Indikatoren ist, die auf in China ansässige Betreiber hinweisen. Einer dieser Prompts fordert die KI beispielsweise auf, die Schaltfläche „Gerät mit Kopplungscode koppeln" im Menü für drahtloses Debugging zu finden, damit die Malware sie ohne menschliches Zutun antippen kann.

Der Diebstahl von Anmeldedaten funktioniert über drei parallele Methoden. Die Overlay-Engine injiziert gefälschte HTML-Anmeldebildschirme über gezielten Banking- und Zahlungsanwendungen und erfasst alles, was darin eingegeben wird. Beispiele, die von den Forschern gezeigt wurden, sind eine gefälschte Bank-of-America-Anmeldeseite und ein russischsprachiger Banking-PIN-Bildschirm.

WeChat- und Alipay-Benutzer werden mit separaten, chinesischsprachigen „Identitätsüberprüfungs"-Bildschirmen ins Visier genommen, die nach der sechsstelligen Zahlungs-PIN fragen. Diese Overlays sind direkt in den Code der Malware integriert und werden nicht vom Server des Angreifers heruntergeladen.

Eine zweite Methode nutzt den Accessibility Service, um getippten Text aus Bildschirmereignissen zu rekonstruieren, einschließlich maskierter Passwortfelder. Die dritte Methode liest rohe Berührungskoordinaten aus dem Eingabetreiber des Geräts über das getevent-Tool aus, ein Ansatz, der normalerweise auf Shell-Prozesse beschränkt ist.

Die Malware gleicht diese Berührungskoordinaten mit gespeicherten Tastaturlayout-Karten für große Handymarken ab und rekonstruiert PINs, Entsperrmuster und Passwörter. Diese Technik umgeht FLAG_SECURE-Beschränkungen, benutzerdefinierte Tastaturen und Sperrbildschirmschutzmechanismen, die die anderen beiden Methoden vollständig blockieren würden.

RatHat fängt außerdem SMS-Nachrichten und Push-Benachrichtigungen ab, um Codes für die Zwei-Faktor-Authentifizierung zu erfassen. Es überträgt den Gerätebildschirm über zwei unabhängige Kanäle: einen über die standardmäßige MediaProjection-API und einen anderen über den Shell-basierten Go-Agenten, der keinen Zustimmungsdialog des Benutzers erfordert. Eine vollständige Bestandsaufnahme der installierten Apps wird an den Angreifer hochgeladen, und Dateien können in beide Richtungen übertragen werden.

Der Go-Agent kann andere Pakete, einschließlich Sicherheitssoftware, unbemerkt deaktivieren oder vollständig deinstallieren, indem er standardmäßige Android-Paketmanagerbefehle verwendet. Er nimmt die Malware außerdem von der Akkuoptimierung aus und stuft sie in den Standby-Bucket mit der höchsten Priorität ein, wodurch sichergestellt wird, dass sie ununterbrochen im Hintergrund läuft.

Die Persistenz überlebt die Deinstallation. Der Go-Agent läuft außerhalb des Lebenszyklus der Haupt-App, sodass das Entfernen der App den Agenten nicht entfernt. Der Agent erkennt die fehlende App und installiert die APK automatisch neu, gewährt alle Laufzeitberechtigungen erneut und aktiviert Accessibility wieder, ohne jegliche Bildschirminteraktion.

Die Haupt-App fängt separat den Deinstallations-Bestätigungsdialog ab und überlagert einen gefälschten Google-Play-Fehler, um das Entfernen abzubrechen, bevor es abgeschlossen ist. Zusätzliche Keep-Alive-Tricks, wie geplante Alarme, Kontosynchronisierung und ein nativer Watchdog, starten seine Komponenten neu, wenn sie gestoppt werden.

Die Anti-Analyse-Schutzmechanismen erstrecken sich über vier strukturelle Ebenen. Der Dropper verschlüsselt seine Payload mithilfe von XOR-Transformationen und GZIP-Komprimierung. Das AndroidManifest der APK wird auf 61 MB mit undokumentierten Datenblöcken aufgebläht, die die meisten Decompiler zum Absturz bringen. DEX-Bytecode-Vergiftung führt dazu, dass Disassembler fehlschlagen, und ein duales String-Verschlüsselungsschema verschleiert alle lesbaren Strings im Ruhezustand.

Sechs Laufzeit-Anti-Debugging-Prüfungen erkennen JDWP-Debugger, ptrace-Anhänge, das Frida-Instrumentierungs-Framework, Xposed-Module, Root-Indikatoren und Emulator-Artefakte. Die meisten automatisierten Analyseumgebungen stürzen entweder beim fehlerhaften Manifest ab oder werden zur Laufzeit aktiv erkannt und umgangen.

Zusammenfassend kann das Vorhandensein von Software wie RatHat auf einem Gerät zu mehreren Systeminfektionen, schwerwiegenden Datenschutzverletzungen, finanziellen Verlusten und Identitätsdiebstahl führen. Es ist erwähnenswert, dass Malware-Entwickler ihre Software und Methoden häufig verbessern. Daher könnten potenzielle zukünftige Versionen von RatHat zusätzliche oder andere Funktionalitäten und Funktionen aufweisen.

Beispiele für Remote Access Trojans

RatHat hebt sich unter den Android-RATs durch seine KI-unterstützte Navigation, die PIN-Erfassung auf Hardware-Ebene und die mehrstufige Persistenz ab, die sich nach dem Entfernen aktiv selbst neu installiert. Diese Fähigkeiten machen es zu einer ernsthaften und widerstandsfähigen Bedrohung für Benutzer von Banking- und Zahlungsanwendungen, mit dem Potenzial für schwerwiegende und anhaltende finanzielle Schäden.

Weitere Beispiele für auf Android abzielende Remote Access Trojans sind Night Dragon, Flying Eagle und Glitch SPY. Malware dieser Art ist typischerweise darauf ausgelegt, Angreifern langfristigen, verdeckten Zugriff auf die Geräte der Opfer und die darauf gespeicherten sensiblen Daten zu verschaffen.

Wie ist RatHat in mein Gerät eingedrungen?

RatHat verbreitet sich hauptsächlich über betrügerische SMS-Nachrichten mit Links zu Phishing-Websites sowie über Malvertising-Kampagnen, die Benutzer zu Download-Portalen von Drittanbietern weiterleiten. Diese Portale hosten bösartige APK-Dateien, die als beliebte Streaming-Apps oder andere legitime Software getarnt sind. Beispielsweise bietet eine auf kingbss[.]com gehostete Seite eine angeblich schnelle und stabile App namens Nexus One mit einer großen „Download Now"-Schaltfläche an, die die Malware liefert.

Opfer, die die APK außerhalb des offiziellen Google Play Store per Sideload installieren, umgehen den in Android integrierten App-Überprüfungsprozess. Der Dropper fordert dann Accessibility-Berechtigungen mithilfe überzeugender, lokalisierter Bildschirmaufforderungen an, und die gesamte Infektionskette läuft unbemerkt im Hintergrund ab, sobald diese Berechtigung erteilt wurde.

Wie kann man die Installation von Malware vermeiden?

Laden Sie Anwendungen nur aus dem offiziellen Google Play Store herunter und überprüfen Sie die Angaben des Herausgebers sowie die Benutzerbewertungen, bevor Sie etwas installieren. Seien Sie vorsichtig bei Links, die per SMS eintreffen, insbesondere bei solchen, die Sie zum Herunterladen einer APK-Datei von einer unbekannten Website auffordern.

Halten Sie Ihr Android-Betriebssystem und alle installierten Anwendungen regelmäßig auf dem neuesten Stand. Verwenden Sie eine seriöse mobile Sicherheitssoftware auf Ihrem Gerät und achten Sie genau auf Berechtigungsanfragen. Eine App, die ohne einen klaren, legitimen Grund Zugriff auf den Accessibility Service anfordert, ist ein deutliches Warnzeichen.

Betrügerische Website (kingbss[.]com), die RatHat als „Nexus One"-App bewirbt (Quelle: Zimperium):

Gefälschte RatHat-Overlays, die auf Bank of America und eine russischsprachige Banking-App abzielen (Quelle: Zimperium):

Schnellmenü:

• Einführung
• Wie löscht man den Browserverlauf aus dem Chrome-Webbrowser?
• Wie deaktiviert man Browserbenachrichtigungen im Chrome-Webbrowser?
• Wie setzt man den Chrome-Webbrowser zurück?
• Wie löscht man den Browserverlauf aus dem Firefox-Webbrowser?
• Wie deaktiviert man Browserbenachrichtigungen im Firefox-Webbrowser?
• Wie setzt man den Firefox-Webbrowser zurück?
• Wie deinstalliert man potenziell unerwünschte und/oder bösartige Anwendungen?
• Wie startet man das Android-Gerät im „abgesicherten Modus"?
• Wie überprüft man den Akkuverbrauch verschiedener Anwendungen?
• Wie überprüft man den Datenverbrauch verschiedener Anwendungen?
• Wie installiert man die neuesten Software-Updates?
• Wie setzt man das System auf seinen Standardzustand zurück?
• Wie deaktiviert man Anwendungen, die über Administratorrechte verfügen?

Browserverlauf aus dem Chrome-Webbrowser löschen:

Tippen Sie auf die Schaltfläche „Menü" (drei Punkte in der oberen rechten Ecke des Bildschirms) und wählen Sie „Verlauf" im geöffneten Dropdown-Menü.

Tippen Sie auf „Browserdaten löschen", wählen Sie den Reiter „ERWEITERT", wählen Sie den Zeitraum und die Datentypen, die Sie löschen möchten, und tippen Sie auf „Daten löschen".

[Zurück zum Inhaltsverzeichnis]

Browserbenachrichtigungen im Chrome-Webbrowser deaktivieren:

Tippen Sie auf die Schaltfläche „Menü" (drei Punkte in der oberen rechten Ecke des Bildschirms) und wählen Sie „Einstellungen" im geöffneten Dropdown-Menü.

Scrollen Sie nach unten, bis Sie die Option „Website-Einstellungen" sehen, und tippen Sie darauf. Scrollen Sie nach unten, bis Sie die Option „Benachrichtigungen" sehen, und tippen Sie darauf.

Suchen Sie die Websites, die Browserbenachrichtigungen senden, tippen Sie darauf und klicken Sie auf „Löschen & zurücksetzen". Dadurch werden die diesen Websites erteilten Berechtigungen zum Senden von Benachrichtigungen entfernt. Sobald Sie dieselbe Website jedoch erneut besuchen, kann sie erneut um eine Berechtigung bitten. Sie können wählen, ob Sie diese Berechtigungen erteilen möchten oder nicht (wenn Sie ablehnen, wird die Website in den Bereich „Blockiert" verschoben und Sie nicht mehr um die Berechtigung bitten).

[Zurück zum Inhaltsverzeichnis]

Chrome-Webbrowser zurücksetzen:

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Apps" sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie die Anwendung „Chrome" finden, wählen Sie sie aus und tippen Sie auf die Option „Speicher".

Tippen Sie auf „SPEICHER VERWALTEN", dann auf „ALLE DATEN LÖSCHEN" und bestätigen Sie die Aktion durch Tippen auf „OK". Beachten Sie, dass das Zurücksetzen des Browsers alle darin gespeicherten Daten beseitigt. Das bedeutet, dass alle gespeicherten Logins/Passwörter, der Browserverlauf, nicht standardmäßige Einstellungen und andere Daten gelöscht werden. Sie müssen sich außerdem bei allen Websites erneut anmelden.

[Zurück zum Inhaltsverzeichnis]

Browserverlauf aus dem Firefox-Webbrowser löschen:

Tippen Sie auf die Schaltfläche „Menü" (drei Punkte in der oberen rechten Ecke des Bildschirms) und wählen Sie „Verlauf" im geöffneten Dropdown-Menü.

Scrollen Sie nach unten, bis Sie „Private Daten löschen" sehen, und tippen Sie darauf. Wählen Sie die Datentypen, die Sie entfernen möchten, und tippen Sie auf „DATEN LÖSCHEN".

[Zurück zum Inhaltsverzeichnis]

Browserbenachrichtigungen im Firefox-Webbrowser deaktivieren:

Besuchen Sie die Website, die Browserbenachrichtigungen sendet, tippen Sie auf das links neben der URL-Leiste angezeigte Symbol (das Symbol muss nicht unbedingt ein „Schloss" sein) und wählen Sie „Website-Einstellungen bearbeiten".

Aktivieren Sie im geöffneten Pop-up die Option „Benachrichtigungen" und tippen Sie auf „LÖSCHEN".

[Zurück zum Inhaltsverzeichnis]

Firefox-Webbrowser zurücksetzen:

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Apps" sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie die Anwendung „Firefox" finden, wählen Sie sie aus und tippen Sie auf die Option „Speicher".

Tippen Sie auf „DATEN LÖSCHEN" und bestätigen Sie die Aktion durch Tippen auf „LÖSCHEN". Beachten Sie, dass das Zurücksetzen des Browsers alle darin gespeicherten Daten beseitigt. Das bedeutet, dass alle gespeicherten Logins/Passwörter, der Browserverlauf, nicht standardmäßige Einstellungen und andere Daten gelöscht werden. Sie müssen sich außerdem bei allen Websites erneut anmelden.

[Zurück zum Inhaltsverzeichnis]

Potenziell unerwünschte und/oder bösartige Anwendungen deinstallieren:

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Apps" sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie eine potenziell unerwünschte und/oder bösartige Anwendung sehen, wählen Sie sie aus und tippen Sie auf „Deinstallieren". Wenn Sie die ausgewählte App aus irgendeinem Grund nicht entfernen können (z. B. wenn eine Fehlermeldung angezeigt wird), sollten Sie den „abgesicherten Modus" verwenden.

[Zurück zum Inhaltsverzeichnis]

Das Android-Gerät im „abgesicherten Modus" starten:

Der „abgesicherte Modus" im Android-Betriebssystem deaktiviert vorübergehend die Ausführung aller Drittanbieteranwendungen. Die Verwendung dieses Modus ist eine gute Möglichkeit, verschiedene Probleme zu diagnostizieren und zu lösen (z. B. bösartige Anwendungen zu entfernen, die Benutzer daran hindern, dies zu tun, wenn das Gerät „normal" läuft).

Drücken Sie die „Ein/Aus"-Taste und halten Sie sie gedrückt, bis Sie den Bildschirm „Ausschalten" sehen. Tippen Sie auf das Symbol „Ausschalten" und halten Sie es gedrückt. Nach einigen Sekunden erscheint die Option „abgesicherter Modus" und Sie können sie durch einen Neustart des Geräts ausführen.

[Zurück zum Inhaltsverzeichnis]

Den Akkuverbrauch verschiedener Anwendungen überprüfen:

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Gerätewartung" sehen, und tippen Sie darauf.

Tippen Sie auf „Akku" und überprüfen Sie den Verbrauch jeder Anwendung. Legitime/echte Anwendungen sind so konzipiert, dass sie so wenig Energie wie möglich verbrauchen, um die bestmögliche Benutzererfahrung zu bieten und Strom zu sparen. Daher kann ein hoher Akkuverbrauch darauf hindeuten, dass die Anwendung bösartig ist.

[Zurück zum Inhaltsverzeichnis]

Den Datenverbrauch verschiedener Anwendungen überprüfen:

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Verbindungen" sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie „Datenverbrauch" sehen, und wählen Sie diese Option. Wie beim Akku sind legitime/echte Anwendungen so konzipiert, dass sie den Datenverbrauch so weit wie möglich minimieren. Das bedeutet, dass ein enormer Datenverbrauch auf das Vorhandensein einer bösartigen Anwendung hindeuten kann. Beachten Sie, dass einige bösartige Anwendungen so konzipiert sein könnten, dass sie nur dann arbeiten, wenn das Gerät mit einem drahtlosen Netzwerk verbunden ist. Aus diesem Grund sollten Sie sowohl den Mobil- als auch den WLAN-Datenverbrauch überprüfen.

Wenn Sie eine Anwendung finden, die viele Daten verbraucht, obwohl Sie sie nie verwenden, raten wir Ihnen dringend, sie so schnell wie möglich zu deinstallieren.

[Zurück zum Inhaltsverzeichnis]

Die neuesten Software-Updates installieren:

Die Software auf dem neuesten Stand zu halten, ist eine bewährte Praxis, wenn es um die Gerätesicherheit geht. Die Gerätehersteller veröffentlichen kontinuierlich verschiedene Sicherheitspatches und Android-Updates, um Fehler und Bugs zu beheben, die von Cyberkriminellen missbraucht werden können. Ein veraltetes System ist wesentlich anfälliger, weshalb Sie immer sicherstellen sollten, dass die Software Ihres Geräts auf dem neuesten Stand ist.

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Software-Update" sehen, und tippen Sie darauf.

Tippen Sie auf „Updates manuell herunterladen" und prüfen Sie, ob Updates verfügbar sind. Falls ja, installieren Sie diese umgehend. Wir empfehlen außerdem, die Option „Updates automatisch herunterladen" zu aktivieren - dadurch wird das System benachrichtigt, sobald ein Update veröffentlicht wird, und/oder es automatisch installiert.

[Zurück zum Inhaltsverzeichnis]

Das System auf seinen Standardzustand zurücksetzen:

Das Durchführen eines „Zurücksetzens auf Werkseinstellungen" ist eine gute Möglichkeit, alle unerwünschten Anwendungen zu entfernen, die Systemeinstellungen auf die Standardwerte zurückzusetzen und das Gerät allgemein zu bereinigen. Sie müssen jedoch bedenken, dass alle Daten auf dem Gerät gelöscht werden, einschließlich Fotos, Video-/Audiodateien, Telefonnummern (die auf dem Gerät und nicht auf der SIM-Karte gespeichert sind), SMS-Nachrichten und so weiter. Mit anderen Worten, das Gerät wird in seinen ursprünglichen Zustand zurückversetzt.

Sie können auch die grundlegenden Systemeinstellungen und/oder einfach die Netzwerkeinstellungen wiederherstellen.

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Über das Telefon" sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie „Zurücksetzen" sehen, und tippen Sie darauf. Wählen Sie nun die Aktion, die Sie durchführen möchten:
„Einstellungen zurücksetzen" - alle Systemeinstellungen auf die Standardwerte zurücksetzen;
„Netzwerkeinstellungen zurücksetzen" - alle netzwerkbezogenen Einstellungen auf die Standardwerte zurücksetzen;
„Auf Werkseinstellungen zurücksetzen" - das gesamte System zurücksetzen und alle gespeicherten Daten vollständig löschen;

[Zurück zum Inhaltsverzeichnis]

Anwendungen deaktivieren, die über Administratorrechte verfügen:

Wenn eine bösartige Anwendung Berechtigungen auf Administratorebene erhält, kann sie das System ernsthaft schädigen. Um das Gerät so sicher wie möglich zu halten, sollten Sie immer überprüfen, welche Apps über solche Berechtigungen verfügen, und diejenigen deaktivieren, die dies nicht haben sollten.

Gehen Sie zu „Einstellungen", scrollen Sie nach unten, bis Sie „Sperrbildschirm und Sicherheit" sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie „Andere Sicherheitseinstellungen" sehen, tippen Sie darauf und tippen Sie dann auf „Geräteadministrator-Apps".

Identifizieren Sie Anwendungen, die keine Administratorrechte haben sollten, tippen Sie darauf und tippen Sie dann auf „DEAKTIVIEREN".

Häufig gestellte Fragen (FAQ)

Mein Android-Gerät ist mit der RatHat-Malware infiziert, sollte ich meinen Speicher formatieren, um sie loszuwerden?

Eine Formatierung ist selten notwendig. Die Ausführung eines seriösen mobilen Sicherheitstools wie Combo Cleaner sollte RatHat in den meisten Fällen erkennen und beseitigen. Dennoch ist der Go-Agent von RatHat darauf ausgelegt, das standardmäßige Entfernen der App zu überleben, sodass ein Zurücksetzen auf die Werkseinstellungen die sicherste Option sein kann, wenn die automatisierte Entfernung nicht erfolgreich ist.

Was sind die größten Probleme, die die RatHat-Malware verursachen kann?

RatHat kann Banking- und Zahlungsanmeldedaten durch gefälschte Anmelde-Overlays, Accessibility-basiertes Keylogging und PIN-Erfassung auf Hardware-Ebene aus rohen Berührungskoordinaten stehlen. Es fängt außerdem Codes für die Zwei-Faktor-Authentifizierung ab und verschafft Angreifern eine dauerhafte Fernsteuerung des Geräts auf Shell-Ebene.

Opfer können mit unautorisierten Finanztransaktionen, geleerten Bankkonten, Identitätsdiebstahl und laufender Überwachung aller Geräteaktivitäten konfrontiert werden, selbst nachdem die Haupt-App scheinbar entfernt wurde.

Was ist der Zweck der RatHat-Malware?

Die meisten Malware-Angriffe sind gewinnorientiert. RatHat ist speziell darauf ausgelegt, Banking- und Zahlungsanmeldedaten für Finanzbetrug zu erbeuten. Seine Fernsteuerungsfähigkeiten könnten jedoch auch für Spionage, Überwachung oder Störung über den direkten Diebstahl hinaus genutzt werden.

Wie ist die RatHat-Malware in mein Android-Gerät eingedrungen?

RatHat wird typischerweise über betrügerische SMS-Nachrichten mit Links zu Phishing-Websites oder über Malvertising verbreitet, das Benutzer zu Download-Portalen von Drittanbietern weiterleitet. Diese Portale bieten APK-Dateien an, die als legitime Apps getarnt sind und von den Benutzern manuell außerhalb des offiziellen App-Stores installiert werden.

Wird Combo Cleaner mich vor Malware schützen?

Combo Cleaner kann nahezu alle bekannten Malware-Infektionen erkennen und beseitigen. Die Durchführung eines vollständigen Systemscans ist unerlässlich, da hochentwickelte Bedrohungen wie RatHat mehrere Anti-Analyse-Ebenen verwenden und Komponenten außerhalb des standardmäßigen App-Lebenszyklus ausführen, um sich so tief wie möglich im Gerät zu verstecken.