Eater
RatOn Android-malware ontdekt met NFC-relay en ATS-bankfraudefunctionaliteiten
Een nieuwe Android-malware genaamd RatOn is geëvolueerd van een basistool die in staat was om Near Field Communication (NFC)-relay-aanvallen uit te voeren, tot een geavanceerde Remote Access Trojan met Automated Transfer System (ATS)-mogelijkheden om apparaatafwijkingen te plegen.
“RatOn combineert traditionele overlay-aanvallen met automatische geldtransfers en NFC-relay-functionaliteit – wat het een uniek krachtige dreiging maakt,” aldus het Nederlandse mobiele beveiligingsbedrijf in een vandaag gepubliceerde rapport.
De banking trojan is uitgerust met functies voor accountovernames die cryptocurrency-wallet-applicaties zoals MetaMask, Trust, Blockchain.com en Phantom aanvallen, en kan ook geautomatiseerde geldtransfers uitvoeren door misbruik te maken van George Česko, een bankapplicatie die in Tsjechië wordt gebruikt.
Daarnaast kan de malware ransomware-achtige aanvallen uitvoeren met behulp van aangepaste overlay-pagina’s en apparaatvergrendeling. Opmerkelijk is dat ook een variant van de HOOK Android-trojan gezien is die ransomware-achtige overlay-schermen gebruikt om afpersingsberichten weer te geven.
Het eerste voorbeeld van RatOn werd in het wild gedetecteerd op 5 juli 2025, met meer artefacten die zo recent als 29 augustus 2025 werden gevonden, wat wijst op actieve verdere ontwikkeling door de aanvallers.
RatOn maakt gebruik van nep Play Store-pagina’s die zich voordoen als een volwassen vriendelijke versie van TikTok (TikTok 18+) om kwaadaardige dropper-apps te hosten die de trojan afleveren. Het is nog niet duidelijk op welke manier gebruikers naar deze sites worden gelokt, maar de activiteit richt zich op Tsjechisch- en Slowaakstalige gebruikers.
Zodra de dropper-app is geïnstalleerd, vraagt deze toestemming aan de gebruiker om apps van externe bronnen te mogen installeren, om zo cruciale beveiligingsmaatregelen van Google te omzeilen die misbruik van Android-toegankelijkheidsdiensten moeten voorkomen.
De payload van de tweede fase vraagt vervolgens apparaatbeheer- en toegankelijkheidsdiensten, evenals toestemmingen om contacten te lezen/schrijven en systeeminstellingen te beheren om zijn kwaadaardige functionaliteiten te realiseren.
Dit omvat ook het zelf verlenen van extra permissies indien nodig en het downloaden van een malware in de derde fase, namelijk NFSkate (ook bekend als NGate), een variant van een legitiem onderzoeksinstrument genaamd NFCGate dat NFC-relay-aanvallen kan uitvoeren via een techniek genaamd Ghost Tap. Deze malwarefamilie is voor het eerst gedocumenteerd door ESET in augustus 2024.
“De functies voor accountovernames en automatische transfers tonen aan dat de dreigingsactor zeer goed op de hoogte is van de interne werking van de doelapplicaties,” zei ThreatFabric, dat de malware beschrijft als volledig vanaf nul opgebouwd zonder code-overeenkomsten met andere Android-bankingmalware.
Dat is nog niet alles. RatOn kan ook overlay-schermen tonen die lijken op een losgeldbericht, waarin wordt beweerd dat de telefoons van gebruikers zijn vergrendeld wegens het bekijken en verspreiden van kinderporno en dat ze binnen twee uur 200 dollar in cryptocurrency moeten betalen om weer toegang te krijgen.
Er wordt vermoed dat deze losgeldberichten ontworpen zijn om een vals gevoel van urgentie op te wekken en het slachtoffer te dwingen een van de doel-cryptocurrency-apps te openen en de transactie te voltooien, waardoor de aanvallers de PIN-code van het apparaat kunnen onderscheppen en gebruiken om de accounts heimelijk over te nemen.
“Na een corresponderend commando kan RatOn de doel-cryptocurrency-wallet-app openen, ontgrendelen met de gestolen pincode, op interface-elementen klikken die gerelateerd zijn aan de beveiligingsinstellingen van de app, en in de laatste stap geheime zinnen onthullen,” legde ThreatFabric uit over de accountovernamefuncties.
Deze gevoelige gegevens worden vervolgens geregistreerd door een keyloggercomponent en exfiltreren naar een externe server die onder controle is van de dreigingsactoren, die hierdoor ongeoorloofde toegang krijgen tot de accounts van slachtoffers en cryptovaluta kunnen stelen.
Enkele belangrijke commando’s die door RatOn worden uitgevoerd zijn onder andere:
- send_push: verzenden van nep-pushmeldingen
- screen_lock: aanpassen van de time-out van het vergrendelscherm
- WhatsApp: WhatsApp openen
- app_inject: wijzigen van de lijst met doel-financiële apps
- update_device: verzenden van een lijst met geïnstalleerde apps plus apparaatfingerprint
- send_sms: SMS versturen via toegankelijkheidsdiensten
- Facebook: Facebook openen
- nfs: downloaden en uitvoeren van de NFSkate APK-malware
- transfer: uitvoeren van ATS via George Česko
- lock: apparaat vergrendelen via apparaatbeheer
- add_contact: nieuw contact toevoegen met opgegeven naam en telefoonnummer
- record: schermopnamesessie starten
- display: schermcasting aan- of uitzetten
“De dreigingsgroep richtte zich aanvankelijk op Tsjechië, waarbij Slowakije waarschijnlijk het volgende land van focus is,” vervolgde ThreatFabric. “De reden achter de focus op één specifieke bankapplicatie is nog onduidelijk. Maar gezien het feit dat geautomatiseerde transfers lokale bankrekeningnummers vereisen, lijkt het erop dat de dreigingsactoren samenwerken met lokale geldezels.”
