Zimperium ostrzega: ClayRat to trojan na Androida. Przejmuje ekran, klawiaturę i powiadomienia, podszywa się pod aplikacje i potrafi zablokować deinstalację.
© A. Krivonosov
Badacze z Zimperium informują o nowej, bardziej wyrafinowanej wersji złośliwego oprogramowania na Androida, znanego jako ClayRat. To, co wcześniej było prostym złodziejem danych wyciągającym SMS-y i rejestry połączeń, przerodziło się w wielofunkcyjne narzędzie inwigilacyjne z głębszym dostępem do systemu i wbudowaną ochroną przed usunięciem. Trudno nie odnieść wrażenia, że to niepokojąca eskalacja, która podnosi ryzyko dla zwykłych użytkowników.
Wczesne warianty wykryte jesienią 2024 roku były dość ograniczone. Teraz ClayRat korzysta z usług ułatwień dostępu Androida, co pozwala atakującym niemal swobodnie sterować interfejsem urządzenia. Zestaw możliwości rozszerzył się o rejestrowanie naciśnięć klawiszy, przechwytywanie kodów PIN, odczytywanie haseł, a nawet automatyczne odblokowywanie ekranu.
Specjaliści zwracają też uwagę na nową barierę przed usunięciem: ClayRat przechwytuje dotknięcia ekranu, blokuje polecenia użytkownika i podmienia działania tak, by uniemożliwić wyłączenie telefonu lub deinstalację malware’u. Na ekranie mogą pojawiać się fałszywe nakładki — na przykład okno „aktualizacja systemu” — które maskują to, co faktycznie się dzieje. Taka iluzja łatwo podważa zaufanie do tego, co widać na wyświetlaczu.
By się rozprzestrzeniać, trojan podszywa się pod popularne aplikacje: klientów serwisów wideo, komunikatory oraz lokalne usługi taksówkowe czy parkingowe. Zimperium wskazało ponad 25 domen‑wabików, w tym fałszywe wersje YouTube Pro i Car Scanner ELM. Atakujący hostują pliki APK na Dropboxie, omijając w ten sposób filtry bezpieczeństwa. Oparcie się na rozpoznawalnych markach i legalnej chmurze sprawia, że podstęp brzmi wiarygodniej.
Po instalacji ClayRat zyskuje niemal pełną kontrolę: nagrywa ekran przez MediaProjection API, przechwytuje powiadomienia, zmienia odpowiedzi i potrafi przejąć kody jednorazowe lub ingerować w rozmowy. Mając taki przyczółek, nawet rutynowe czynności nie zawsze zachowują się tak, jak użytkownik by oczekiwał.