RatHat, Malware Android yang Pakai AI untuk Curi PIN

Harianjogja.com, JOGJA— Pengguna Android perlu mewaspadai RatHat, trojan baru yang memanfaatkan kecerdasan buatan (AI) generatif untuk membaca dan menavigasi antarmuka ponsel yang telah terinfeksi. Malware ini tidak hanya mengincar kredensial perbankan, tetapi juga dapat merekonstruksi PIN dan pola kunci layar dari koordinat sentuhan pengguna.

RatHat ditemukan oleh tim zLabs dari perusahaan keamanan siber Zimperium dan analisisnya dipublikasikan pada September 2026. Berbeda dari malware yang mengandalkan skrip tetap untuk menjalankan perintah, RatHat menggunakan AI untuk membantu menentukan tindakan yang harus dilakukan berdasarkan kondisi layar perangkat secara langsung.

Dalam mekanisme tersebut, struktur antarmuka Android yang tersedia melalui Accessibility Service diserialisasi menjadi format XML dan dikirim kepada asisten AI. Sistem kemudian membaca elemen yang ada di layar, termasuk teks dan tata letaknya, lalu mengembalikan instruksi navigasi yang digunakan RatHat untuk berinteraksi dengan perangkat.

Kemampuan ini membuat pola kendali RatHat lebih fleksibel dibandingkan otomatisasi yang hanya mengandalkan rangkaian perintah yang sudah ditentukan sebelumnya. Peneliti Zimperium menilai pendekatan tersebut dapat membantu malware beradaptasi dengan tampilan perangkat yang berbeda.

RatHat Sebarkan Diri Lewat SMS Phishing dan Iklan Berbahaya

RatHat tidak ditemukan sebagai aplikasi resmi di Google Play. Berdasarkan temuan peneliti, penyebarannya memanfaatkan SMS phishing atau smishing, iklan berbahaya, serta situs unduhan pihak ketiga yang mengarahkan korban untuk memasang file APK secara manual.

Rantai infeksi dimulai ketika korban memasang aplikasi berbahaya dan memberikan izin yang dibutuhkan. RatHat kemudian menyalahgunakan fitur Accessibility serta Wireless Debugging untuk memperoleh akses lebih jauh ke perangkat, termasuk membangun sesi ADB lokal tanpa harus terhubung ke komputer eksternal.

Menurut analisis Zimperium, dropper RatHat membawa dua aset terenkripsi dan memanfaatkan API SessionInstaller bawaan Android dalam proses instalasinya. Setelah memperoleh akses shell, malware dapat menjalankan komponen tambahan di luar aplikasi utama.

Rangkaian tersebut membuat RatHat bukan sekadar aplikasi palsu yang mencuri informasi login. Malware dapat memperoleh kemampuan untuk menjalankan perintah pada perangkat, menangkap SMS, mengakses informasi pada layar, dan mempertahankan keberadaannya setelah aplikasi utama berusaha dihapus.

Tiga Komponen Jadi Mesin RatHat

Zimperium mengidentifikasi tiga bagian utama dalam arsitektur RatHat. Komponen pertama berupa aplikasi Android berbahaya yang memulai rantai infeksi, meminta berbagai izin, serta menampilkan antarmuka palsu untuk mencuri kredensial dari aplikasi yang menjadi sasaran.

Komponen kedua adalah agen yang ditulis menggunakan bahasa pemrograman Go. Setelah RatHat memperoleh akses shell melalui daemon ADB lokal, agen tersebut berfungsi sebagai pusat kendali yang menerima dan menjalankan perintah serta membantu mempertahankan aktivitas malware pada perangkat.

Komponen ketiga adalah frpc, klien reverse-proxy yang berasal dari proyek frp. Komponen ini digunakan untuk membuat terowongan komunikasi persisten sehingga infrastruktur penyerang dapat memperoleh akses menuju daemon ADB untuk menjalankan perintah dari jarak jauh.

RatHat juga memiliki mekanisme untuk menghambat proses penghapusan. Ketika pengguna mencoba mencopot aplikasi, malware dapat mengintersepsi proses tersebut dan menampilkan tampilan palsu yang seolah-olah menunjukkan adanya kegagalan dari Google Play. Bahkan setelah aplikasi utama terhapus, layanan shell yang berjalan secara terpisah dapat memeriksa keberadaannya dan memasangnya kembali.

RatHat Bisa Rekonstruksi PIN dari Gerakan Jari

Salah satu kemampuan yang paling menonjol adalah cara RatHat menangkap input pengguna. Malware menggunakan beberapa metode sekaligus, termasuk memantau perubahan teks melalui Accessibility Service dan membaca informasi tertentu dari antarmuka peramban berdasarkan ID sumber daya.

Metode lainnya bekerja pada tingkat input perangkat. Agen Go RatHat dapat memanfaatkan tool debugging Android bernama getevent untuk membaca koordinat sentuhan mentah yang berasal dari perangkat. Koordinat tersebut kemudian dibandingkan dengan susunan tombol pada perangkat untuk membantu merekonstruksi PIN atau pola kunci layar.

Artinya, malware tidak harus melihat angka yang ditekan pengguna secara langsung. Dengan mengetahui posisi jari pada layar dan tata letak keypad, RatHat dapat memperkirakan rangkaian angka yang dimasukkan. Teknik serupa juga dapat digunakan untuk membaca pola buka kunci berdasarkan jejak koordinat sentuhan.

Selain mencuri input, RatHat dapat membuat tampilan palsu di atas aplikasi keuangan atau pembayaran yang sedang dibuka. Cara tersebut digunakan untuk memperoleh informasi login dan kode autentikasi, termasuk kode sekali pakai yang diterima melalui SMS.

Google: RatHat Tidak Ditemukan di Play Store

Google menyatakan belum menemukan aplikasi yang mengandung RatHat di Google Play berdasarkan deteksi yang tersedia saat ini. Google juga mengatakan perangkat Android dengan Google Play Services secara otomatis mendapat perlindungan Google Play Protect terhadap versi RatHat yang sudah diketahui.

Meski demikian, jalur distribusi yang ditemukan peneliti tetap membuat sumber aplikasi menjadi bagian penting dari risiko. Pengguna yang memasang APK dari tautan SMS, iklan, forum, atau situs unduhan yang tidak tepercaya dapat keluar dari jalur distribusi resmi aplikasi Android.

Peneliti juga mengaitkan RatHat dengan aktor ancaman yang kemungkinan berbasis di Tiongkok. Penilaian tersebut antara lain didasarkan pada bahasa Mandarin yang ditemukan dalam prompt yang digunakan malware untuk berkomunikasi dengan asisten AI, sehingga belum dapat dijadikan identifikasi pasti mengenai pelaku di balik operasi tersebut.

 

Cek Berita dan Artikel yang lain di Harian Jogja, dan edisi cetak versi elektronik kami hadir di Epaper Harian Jogja.