Nieuwe Android-malware is gevaarlijker dankzij gebruik van realtime AI
Kunstmatige intelligentie wordt al vaker ingezet om nieuwe varianten van malware te ontwikkelen. Dat malware AI gebruikt om zich tijdens een aanval actief aan te passen aan de situatie, komt echter minder vaak voor. En dat is precies wat ESET-onderzoeker Lukas Stefanko deze maand ontdekte bij PromptSpy. Dat is een Android-malware die Googles Gemini misbruikt om zich als een kameleon aan te passen aan de omstandigheden.
Helemaal nieuw is het gebruik van machine learning of kunstmatige intelligentie in malware niet. Doorgaans wordt dit echter enkel ingezet voor relatief ‘simpele’ taken, zoals het analyseren van foto’s en screenshots om bijvoorbeeld wachtwoorden te achterhalen. De manier waarop de ontwikkelaars van PromptSpy AI inzetten, is echter een stuk geavanceerder.
AI helpt malware om actief te blijven op Android
Concreet wordt AI ingezet om te achterhalen hoe een app vastgepind moet worden in de lijst met recente apps. Dat proces verschilt per Android-fabrikant. Door AI te gebruiken, kan de malware die stap nu op bijna alle toestellen correct uitvoeren.
Malware zoals PromptSpy misbruikt dit mechanisme om zichzelf vast te zetten in het geheugen als een ‘persistence mechanism’. Met andere woorden: het voorkomt dat de app zomaar wordt afgesloten door het Android-systeem of wanneer gebruikers op ‘sluit alle apps’ drukken.
Om hulp te krijgen van Gemini maakt de malware continu een XML-bestand met de huidige staat van het scherm, inclusief zichtbare UI-elementen. Gemini krijgt vervolgens de vraag welke acties nodig zijn om een app vast te pinnen. Dat proces wordt herhaald tot de AI bevestigt dat de app succesvol is vastgepind.
Dynamischere Android-malware
ESET benadrukt dat de huidige aanpak weliswaar niet extreem uitgebreid is, maar wel laat zien hoe AI malware dynamischer kan maken. Ontwikkelaars hoeven niet langer alle acties vooraf in scripts vast te leggen, maar kunnen ze in plaats daarvan voorleggen aan een AI-chatbot.
Hoe dit zich in de toekomst zal ontwikkelen, moet nog blijken. De kans is groot dat AI ervoor zal zorgen dat aanvallen vaker slagen en dat er mogelijk meer geld en gegevens buitgemaakt worden, vaak zonder dat de gebruiker dit doorheeft. Het volledige AI-proces van PromptSpy gebeurt immers buiten het zicht van de gebruiker.
Geen uitzonderlijke Android-spyware
Behalve de toevoeging van AI is PromptSpy geen buitengewone Android-malware. De spyware werkt, zoals vaker het geval is, via de toegankelijkheidsfuncties van het OS. Daarmee kunnen cybercriminelen een toestel als het ware overnemen en overlays plaatsen.
Dat stelt hen in staat om onder meer:
- Een lijst met geïnstalleerde apps te uploaden;
- Pincodes of wachtwoorden van het vergrendelingsscherm te onderscheppen;
- Het ontgrendelpatroon als video op te nemen;
- Op verzoek screenshots te maken;
- Schermactiviteit en gebruikersgebaren op te nemen;
- De huidige voorgrondapp en schermstatus te rapporteren.
Onduidelijk is of de malware al actief wordt ingezet. ESET zegt de afgelopen maanden enkele samples te zijn tegengekomen, maar ontdekte PromptSpy nog niet via zijn telemetriesystemen. Volgens Stefanko is het goed mogelijk dat de huidige opzet vooral een proof of concept is, bedoeld om te onderzoeken of en hoe AI malware kan optimaliseren.
