RATHat: за полгода панель управления сменила три поколения, тогда как сам троян почти не изменился

Заражение начинается с заманивания. Рекламные вставки и СМС-фишинг ведут жертву в Европе, Латинской Америке и Юго-Восточной Азии на страницу загрузки. Дальше приложение просит разрешение на службу специальных возможностей - системный механизм, созданный для людей с ограничениями здоровья. Отказ обрывает цепочку, согласие открывает всё остальное. Получив доступ, троян сам включает беспроводную отладку, считывает с экрана код сопряжения и подключается к отладочному демону телефона. В результате он получает оболочку - режим служебного пользователя с широкими правами. Через неё разворачивается отдельная служба на языке Go и клиент, открывающий обратный туннель к серверам оператора.

По данным проведённого анализа, три поколения панели выросли из одного дерева исходного кода: у первых двух совпадают служебные файлы интерфейса. Ранняя консоль под названием Fisher, связанная с кампаниями декабря 2025 года, в эту линию не входит - общего кода с ней у новых версий нет. Пятое поколение получило двухфакторную аутентификацию для операторов и виджет с оценкой баланса жертвы, шестое - запутанный код интерфейса, конструктор фишинговых страниц и единую настройку на Gemini. Сама консоль работает как полноценная фабрика. Сборка, упаковка, подпись и публикация новых образцов идут прямо из окна программы, оператору достаточно заполнить поля с адресом сервера и содержимым приманки. Отдельный режим пересобирает полезную нагрузку по расписанию, например каждый час. Каждый цикл даёт файл с новым цифровым отпечатком, поэтому антивирусы, ищущие угрозу по отпечатку, перестают её видеть, хотя внутри остаётся прежний код.

Публикацию панель берёт на себя двумя путями. Первый - раздача через облачное хранилище с сетью доставки контента, где оператор просто вводит ключи доступа и имя хранилища. Второй - выгрузка на панель управления хостингом, популярную у китайскоязычных провайдеров. В обоих случаях оператор не касается серверов напрямую. Ограничения внутри консоли указывают на модель "вредоносное ПО как услуга" (MaaS): число одновременных учётных записей жёстко ограничено, часть разделов скрыта от рядовых пользователей и доступна только старшим ролям. Против жертвы такие меры не дают ничего. Они нужны, чтобы присматривать за собственными клиентами и ограничивать их.

Проверить эту версию можно снаружи. По названиям панелей и элементам интерфейса удалось насчитать почти сто отдельных установок с апреля 2026 года, и почти половина приходится на одного сингапурского провайдера. Три выпуска программы на сотне независимых развёртываний говорят о том, что каждому клиенту достаётся собственный экземпляр, а лимит на число учётных записей действует внутри одной установки. Названия адресов выстроены настолько однотипно, что сами служат подсказкой для поиска новых узлов.

В консоли оператора собраны переписка, контакты, фотографии, файлы и список установленных приложений. Отдельный раздел подменяет экран банковского приложения собственной формой и получает всё, что жертва в неё введёт. Удалённое управление устроено двумя путями. Первый работает через само приложение, требует согласия на запись экрана и оставляет в строке состояния постоянный значок. Второй идёт через службу в оболочке: ни диалогов, ни индикаторов, система не фиксирует захват экрана, потому что действует не приложение. За скрытность приходится платить совместимостью - на Android 14 и новее этот путь не работает.

Искусственный интеллект применяется с двух сторон. Панель читает собранные сообщения и оценивает, сколько денег лежит на счетах жертвы, после чего ранжирует устройства и подсказывает, за кого браться первым. В первых версиях предлагался выбор из нескольких поставщиков моделей, к шестой всё свели к Gemini. Троян использует ту же модель иначе: когда автоматический поиск нужной кнопки на незнакомом телефоне не срабатывает, он передаёт модели разметку экрана и спрашивает, куда нажать. Пока эта функция решает одну узкую задачу - довести сопряжение до конца. Однако тот же приём легко расширить.

Автоматизированная кража средств со счёта (ATS) годами оставалась дорогой затеей: под каждое банковское приложение и каждое его обновление приходилось писать отдельный сценарий с точной последовательностью экранов и кнопок. Модель, которая читает экран и называет следующее действие, снимает это ограничение. Пока ни один из изученных образцов не проводит платёж таким способом, и путь от поиска переключателя до перевода денег не короткий. Но строительные блоки уже работают в живой кампании. Защита начинается с простого: не выдавать службу специальных возможностей по первому требованию и следить за включением беспроводной отладки. Телефоны нужно обновлять, а компаниям - проверять, что запускается на устройствах сотрудников под служебной учётной записью оболочки.