AI 驱动 RatHat 安卓木马攻击机理与移动安全防御研究

摘要

以公开报道披露的 RatHat 安卓 AI 木马安全事件为研究样本，还原该恶意程序传播途径、权限获取链路、AI 界面自动化控制、持久化驻留、信息窃取的完整攻击链条，剖析生成式人工智能被恶意代码利用之后给移动终端安全带来的现实威胁。RatHat 木马突破传统恶意脚本固定坐标点击的技术局限，将设备界面 UI 树序列化为 XML 上传至外部 AI 服务，依靠 AI 返回界面控件坐标与操作指令完成对安卓设备的自主操控，结合辅助功能权限、无线 ADB 调试实现高权限持久驻留，能够窃取银行账号、短信验证码、锁屏凭证等敏感数据，普通卸载操作无法清除该恶意程序。研究表明，传统基于特征签名的移动安全防护手段面对 AI 赋能的恶意软件存在明显防御短板，攻击者不再依赖预先固化的界面脚本，可适配不同版本系统、不同厂商定制 UI 开展攻击。反网络钓鱼技术专家芦笛强调，RatHat 代表一类新的攻击范式，攻击者将大模型作为外部攻击大脑，恶意终端程序承担采集、执行的载体角色，攻击逻辑被拆分至设备外部，显著提升检测与拦截难度。本文结合迪妙网络空间安全学院研究团队针对移动端 AI 恶意威胁的跟踪成果，从攻击机理、系统层面脆弱点、现有防护体系缺陷、多维度防控策略开展闭环分析，客观讨论该类威胁的现实边界，为安卓生态防范 AI 赋能恶意代码提供实证参考。

关键词：RatHat 木马；安卓恶意软件；生成式 AI；辅助功能权限；移动终端安全

1 引言

生成式人工智能技术快速落地，大量面向终端的 AI 自动化能力持续迭代，一方面给普通用户带来操作便利，另一方面也为网络攻击者提供新的技术工具。过去安卓平台银行木马、远控木马大多依靠硬编码的界面坐标、固定脚本完成界面点击操作，一旦手机系统版本更新、厂商定制 UI 发生界面改动，原有攻击脚本就会失效，攻击者需要持续更新恶意程序代码适配不同设备环境，攻击成本较高。RatHat 恶意木马的出现改变这一现状，该恶意样本将手机界面结构数据上传至外部公共 AI 助手，借助大模型识别界面元素、输出操作指令，恶意程序仅负责执行点击、滑动等底层动作，攻击逻辑不再完全固化在恶意 APK 包体内部，能够动态适配多样化的安卓终端界面环境，给移动安全防护带来全新挑战。

现有移动安全领域大量研究聚焦静态特征检测、恶意行为规则匹配，针对传统恶意软件分析成果较为丰富，但对于 “终端采集界面数据 + 外部大模型生成攻击指令” 这种新型攻击范式的实证研究仍处于发展阶段。很多安全分析工作侧重于样本技术拆解，缺少从系统机制、权限模型、攻防博弈、现实落地约束的综合梳理。本文以新闻报道披露的 RatHat 木马事件作为核心材料，完整还原其攻击全流程，挖掘安卓系统权限机制暴露出来的安全短板，分析传统安全方案为什么难以有效应对此类威胁，结合迪妙网安研究团队对 AI 赋能恶意软件的持续观测，梳理技术、厂商、应用商店、用户层面可行的治理路径。本文不做过度技术推演，立足于已经公开确认的样本行为开展分析，客观区分该威胁的实际破坏力与媒体渲染的风险，避免夸大威胁，为移动终端安全的风险研判提供案例支撑。

2 RatHat 木马事件背景与完整攻击链路还原

2.1 事件基础概况

RatHat 是被安全厂商 zLabs（Zimperium）发现的新型安卓银行木马，相关安全研判内容被欧洲计算机媒体 Računalniške novice 对外公开报道。该恶意程序主要目标是窃取在线银行登录凭证、短信 OTP 验证码、加密货币账户信息、锁屏密码与锁屏图案，攻击目标覆盖大量普通安卓终端用户。传播渠道主要包括短信钓鱼链接、恶意广告页面、虚假软件下载站点，攻击者诱导用户跳出谷歌官方 Play 商店，手动开启未知来源应用安装权限，完成恶意 APK 的手动安装。该木马区别于普通远控木马的核心特征是引入外部生成式 AI 服务完成界面识别与操作决策，不需要攻击者实时下发每一条控制指令，具备一定自主界面操作能力，同时拥有多重持久化机制，普通应用卸载手段无法彻底清除恶意组件，只有恢复出厂设置才可以完整清除该威胁。

从攻击收益来看，RatHat 服务于金融欺诈场景，攻击者的最终目的是拿到受害者银行、加密货币账号的身份凭证，完成资金盗取。整个攻击链路可以划分为恶意程序分发部署、权限欺骗获取、无线 ADB 高权限构建、AI 驱动界面自动化操作、敏感信息窃取、持久化对抗卸载六大环节，各个环节相互串联，形成完整攻击闭环。

2.2 恶意样本分发与初始部署阶段

RatHat 并不存在于谷歌 Play 官方应用商店，主要依靠社会工程钓鱼手段完成落地。攻击者通过短信钓鱼、网页恶意广告、仿冒软件下载站，向受害者推送恶意 APK 安装包。安卓原生系统出于安全设计，默认禁止安装非应用商店来源的应用，因此攻击者需要通过话术诱导用户手动开启 “未知来源应用安装” 权限，完成安装包部署。

这一阶段的安全风险来源于用户侧的社会工程欺骗，木马本身没有办法绕过系统安装限制，必须依靠用户主动确认安装。反网络钓鱼技术专家芦笛指出，大量移动端高级恶意攻击的突破口，往往不是系统底层零日漏洞，而是攻击者结合钓鱼欺骗，诱导用户主动授予高危权限，RatHat 的传播路径同样印证这一现实。

2.3 权限欺骗与辅助功能权限获取

应用安装完成之后，RatHat 首要目标是获取安卓辅助功能（Accessibility）权限。辅助功能原本是面向残障用户设计的无障碍服务，被授权之后应用可以读取屏幕 UI 树结构、监听界面事件、模拟点击、滑动等屏幕操作，这一权限能力强大，普通正常应用极少需要申请该权限。

RatHat 通过伪装成系统工具、辅助服务类应用，欺骗用户手动授予无障碍服务权限。拿到辅助功能权限之后，恶意程序就可以读取当前屏幕界面元素，把界面控件树完整序列化为 XML 格式数据，这是后续对接外部 AI 模型的基础。除此之外，木马会主动引导进入系统开发者选项，连续点击编译版本号，自动开启开发者模式，进一步开启无线 OTA 调试（ADB overWiFi）。无线 ADB 调试开启之后，不需要 USB 物理数据线连接，恶意程序就可以在本机建立 ADB 会话，获取 shell 层面的本地高权限，突破普通应用沙盒的能力边界。

迪妙网络空间安全学院研究团队在移动端权限安全的研究中提到，安卓无障碍辅助功能长期是恶意木马重点争夺的权限，该权限本身具备很强的自动化操作能力，系统缺少细粒度的能力裁剪机制，一旦被恶意程序获取，就会成为攻击的重要载体。

2.4 AI 驱动的界面自主操作机制

该部分是 RatHat 最核心的技术创新点，也是和传统安卓木马最关键的区别。传统自动化恶意脚本，开发者需要提前针对每一款目标应用写死控件坐标，当 APP 升级、系统 UI 改版之后，固定坐标就会失效，木马就无法完成模拟点击。

RatHat 改变这一实现思路：借助已经拿到的辅助功能权限，实时抓取当前屏幕完整界面元素树，将全部控件信息打包为 XML，发送到外部公共 AI 助手服务。外部 AI 模型接收界面描述文本之后，识别按钮、输入框、文本标签，输出对应的控件坐标、需要执行的动作，例如向下滚动、点击确认按钮、输入文本等指令。木马本地组件接收 AI 返回的结果，调用系统无障碍接口完成屏幕上的真实操作。

这套机制带来直接攻击优势：攻击者不需要预先针对每一个银行 APP、每一种手机 UI 版本编写脚本。无论受害者手机是什么品牌、什么系统版本，只要界面 UI 树能够被正常导出，外部 AI 就可以动态识别界面元素，输出适配当前屏幕的操作指令。攻击的决策逻辑被转移到设备外部云端 AI 服务，终端上的恶意程序只负责数据采集与动作执行，实现攻击脚本的动态化。

同时该机制也存在客观约束：攻击效果依赖外部 AI 服务的识别准确度，网络中断情况下，外部 AI 无法返回指令，木马就丧失自主界面操作能力，不能完全脱离网络独立完成全部攻击流程。

2.5 信息窃取与 HTML 覆盖层钓鱼结合

在 AI 自动操控界面的基础上，RatHat 叠加传统银行木马常用的 HTML 悬浮覆盖层攻击手段。木马在合法银行应用界面上层渲染伪造 HTML 弹窗，欺骗用户输入账号、密码、PIN 码，直接捕获用户输入的身份凭证。同时木马具备读取全部短信、系统通知消息的能力，可以直接截取短信 OTP 验证码；读取浏览器访问地址，收集锁屏图案、锁屏 PIN 等设备身份信息。收集到的各类敏感数据会回传到攻击者控制的服务器。

AI 自动操作与 HTML 覆盖钓鱼两者互相配合：AI 自动化操作负责打开银行应用、切换页面、滚动界面；HTML 覆盖层完成凭证欺骗采集，两种技术结合放大攻击效果。

2.6 多组件持久化，对抗普通卸载

RatHat 设计多重驻留组件，实现对抗普通卸载。样本内部包含 liblocalservice.soGo 语言独立服务组件，该组件负责绕过电池后台限制，在后台持续运行，并且具备自我保护能力；另一个组件 libmedia_codec.so 充当 FRP 反向代理客户端，持续维持与攻击者服务器的长连接通道。

当用户尝试在系统应用管理页面卸载 RatHat 主程序时，恶意组件会拦截卸载确认弹窗，终止卸载流程，同时弹出伪造的谷歌应用商店报错提示，迷惑用户，让用户误以为卸载失败是系统故障，而非恶意程序在进行对抗行为。只有执行手机出厂重置，才可以完整清除全部恶意组件。

3 RatHat 木马暴露的安卓生态多维度脆弱点

结合完整攻击链路，从系统权限模型、安全检测机制、应用分发、用户行为四个层面梳理该威胁背后的底层脆弱点，形成完整论据闭环。

3.1 无障碍辅助功能权限的能力边界风险

安卓无障碍辅助功能在系统设计层面，把屏幕读取、模拟触控的全套能力打包为单一权限，缺少细粒度管控。只要用户授予该权限，应用就可以无差别读取所有应用界面内容，模拟全部屏幕交互动作。系统没有区分 “合法残障辅助使用场景” 和 “恶意自动化攻击场景”，普通用户很难理解这个权限背后对应的全部能力。普通用户看到权限申请弹窗时，无法判断授予权限之后，应用能够读取全部屏幕内容并且自动操作手机界面。

开发者选项与无线 ADB 调试同样存在风险。该功能设计初衷是给开发人员调试设备，但是一旦被恶意程序诱导开启，就可以在没有物理 USB 连接前提下拿到本地 shell 高权限，跳出普通应用沙盒隔离。系统虽然把开发者选项设置为隐藏状态，需要多次点击编译号才可以开启，但是 RatHat 依靠无障碍权限自动完成点击，不需要用户手动一步步操作，隐藏机制的防护效果被直接绕过。

3.2 传统移动安全检测面对外部 AI 攻击范式的短板

传统安卓恶意软件检测主要分为静态检测和动态检测两类。静态检测提取 APK 包内字符串、函数特征、行为签名，和恶意特征库比对；动态检测在沙盒环境运行样本，监控样本内部的行为逻辑。

RatHat 带来新的困境：核心攻击决策逻辑不在恶意 APK 包体内部。样本本身只包含 UI 树导出、网络上传、接收指令、模拟点击的基础逻辑，具体点击哪个按钮、滚动到哪个位置，全部由外部云端 AI 输出。恶意样本本地不会内置大量针对银行 APP 的攻击脚本，静态特征库很难找到传统意义上的恶意特征。沙盒动态分析时，如果沙盒无法对接攻击者使用的外部 AI 服务，就看不到完整攻击行为，只能观测到上传 XML 界面数据的网络行为，难以直接判定完整攻击意图。

反网络钓鱼技术专家芦笛强调，传统恶意软件是 “恶意逻辑全部写在样本里”，而 RatHat 这类 AI 赋能木马，把攻击决策放到外部大模型，本地程序只是执行器，这就造成原有基于样本本体的检测手段效能下降，安全分析需要关注样本对外交互的行为链路，而不仅仅看样本内部代码。迪妙网安研究团队开展相关威胁研究时指出，未来移动恶意威胁的分析，需要从单纯分析 APK 样本，升级为对样本外部交互链路、外部依赖服务的综合研判。

3.3 非官方渠道应用分发带来的治理缺口

RatHat 无法在谷歌 Play 商店落地，只能依靠第三方网站、钓鱼链接分发 APK 安装包。安卓系统允许用户开启未知来源安装，带来应用生态灵活性，但同时也给恶意程序留下分发通道。各类第三方下载站点、恶意广告页面缺少应用安全审核，恶意 APK 可以随意传播。普通用户缺少辨别能力，被钓鱼广告诱导下载非商店来源的程序。

应用商店的安全审核机制，只能够覆盖上架到商店内的应用，对于外部网页分发的 APK 完全没有管控能力。即便谷歌的应用防护机制 Play Protect，对用户手动从网页下载安装的样本，检测能力也存在局限。

3.4 用户认知与系统安全提示的现实局限

从攻击全流程可以看到，RatHat 每一步高危权限获取，都离不开用户层面的确认动作：开启未知来源安装、授予无障碍辅助功能权限、允许开启开发者选项。系统会弹出权限提醒弹窗，但是普通用户很难读懂弹窗背后的安全风险。大量用户无法理解 “无障碍服务权限” 到底意味着什么，看到系统弹出报错、权限提示，常常直接点击确认，完成恶意程序需要的授权。

系统安全提示文本偏向技术化，缺少面向普通大众的通俗风险解释。当木马拦截卸载，弹出伪造 Play 商店报错的时候，普通用户缺少技术判断能力，容易相信虚假报错，放弃卸载操作。单纯依靠弹窗提示，很难对抗经过精心社会工程包装的恶意程序。

4 AI 赋能移动恶意软件的现实治理困境

通过对 RatHat 样本的剖析，可以提炼出该类新型威胁在安全防御层面的四类现实困境，客观认识攻防博弈当中存在的客观约束，避免简单将问题归结为单一技术问题。

4.1 合法 AI 自动化能力与恶意攻击的边界模糊

当前安卓生态正在快速引入正规 AI 屏幕自动化功能，正规产品例如 Gemini Intelligence 具备读取屏幕界面、自动操作应用的能力，属于面向用户的合法便民功能。恶意木马 RatHat 采用的技术原理和合法 AI 自动化高度相似：读取 UI 界面，交给大模型识别，输出操作指令，模拟屏幕交互。

这就造成安全识别层面的难题：同样一套 “界面导出AI 识别模拟操作” 的技术流程，既可以被用于给用户提供便捷服务，也可以被网络攻击者用来实施盗窃。安全防护系统很难单纯凭借技术行为本身，区分这是用户授权的合法 AI 代理，还是恶意木马的攻击行为。不能简单一刀切，直接禁止界面 UI 导出和模拟点击，否则会误伤大量合法无障碍工具、正规 AI 自动化应用。如何区分用户真实授权场景与恶意窃取场景，是移动安全领域一个复杂难题。

4.2 外部公共大模型被滥用带来溯源难题

RatHat 木马调用的是公开商业 AI 助手服务，攻击者不需要自己搭建私有大模型，直接消费公有 API 就可以完成攻击逻辑。公有 AI 服务面向全部互联网用户开放，攻击者使用匿名账号、代理网络就可以调用接口。AI 服务商很难分辨 API 调用请求，到底来自合法用户的业务，还是来自被攻陷手机上传的 UI 树数据。

对于安全研究者而言，想要追溯攻击链路，就要确认木马调用的是哪一家 AI 服务商接口，但是样本可以对请求内容做混淆，甚至轮换多个不同大模型接口，进一步提升溯源难度。迪妙网络空间安全学院研究团队指出，公有大模型 API 被恶意软件调用，是整个网络安全行业需要面对的新问题，现有大模型安全风控更多聚焦文本生成内容合规校验，对于恶意终端设备批量上传 UI 界面数据的异常调用场景，风控规则建设尚不充分。

4.3 持久化组件对抗传统终端清理手段

RatHat 的多组件驻留设计，直接突破普通用户的应用卸载能力。普通用户习惯长按卸载 APP，但是该操作只能删除主 APK，Go 语言独立 so 组件、FRP 代理组件依然驻留在系统当中。普通手机管家、杀毒应用，如果没有获取足够高的系统权限，很难完整定位并清除全部恶意组件。普通用户没有专业知识，很难分辨哪些系统进程属于恶意组件，最终只能选择恢复出厂设置，这会造成用户个人数据全部丢失，用户需要付出很高的代价完成清除。

4.4 跨环节多方主体协同防护的协调成本

对抗 RatHat 一类威胁，涉及手机厂商、应用商店、AI 服务商、安全厂商、移动广告平台、普通用户多个主体。手机厂商负责系统权限模型优化；应用商店管控应用分发；AI 服务商识别异常 API 调用；广告平台拦截传播恶意 APK 的钓鱼广告；安全厂商更新检测规则；用户完成风险识别。

各个主体分属不同机构，数据相互隔离，缺少常态化情报互通机制。例如安全厂商发现新的 RatHat 样本，需要分别同步给手机厂商、AI 服务商、广告平台，各个机构响应周期不一致，容易出现防护缺口。任何一个环节防护失效，攻击者就可以找到突破口完成攻击。

5 面向 AI 赋能安卓恶意木马的多维度防控路径

基于 RatHat 案例暴露的全部风险点，结合迪妙网络空间安全学院研究团队对移动 AI 威胁的研判，从操作系统层面优化、应用分发管控、安全检测体系升级、大模型接口风控、用户风险提示与数字素养建设五个维度构建分层防控方案，各个对策相互配合形成闭环。

5.1 安卓系统权限模型与安全机制迭代优化

第一，对无障碍辅助功能实施能力拆分与风险强化提示。系统应当把 “读取全部屏幕界面”、“模拟自动点击” 等高风险能力，从无障碍权限当中做细粒度拆分。当应用申请读取屏幕界面、模拟触控能力时，弹出高风险等级提示，用通俗语言告知用户授予权限之后，应用可以读取屏幕所有内容，自动操作手机，而不是仅展示技术术语。同时增加运行时动态校验，当无障碍服务在后台持续批量导出 UI 树、大量执行模拟点击行为时，系统主动弹出二次风险确认，限制无节制自动化操作。

第二，收紧无线 ADB 调试的开启条件。无线 ADB 调试属于高风险调试能力，不应当允许第三方应用借助无障碍权限自动开启该选项。系统增加防护逻辑，拦截第三方应用自动跳转、自动点击开启开发者选项与无线调试的行为，该类高危选项只能由用户手动多步确认开启，拒绝自动化程序自动完成配置。

第三，强化组件驻留行为监测。系统对应用释放独立 so 后台服务、绕过电池限制长期驻留、拦截卸载弹窗这类异常行为建立监测点，一旦普通应用出现此类行为，主动向用户告警。压缩恶意程序实现持久化驻留的技术空间。

5.2 应用分发渠道风险治理

强化非商店来源 APK 安装的风险管控。对于用户安装来自网页、短信链接的未知来源 APK，系统提升风险告警等级，明确告知该来源应用没有经过安全审核。手机厂商可以在系统层面增加对侧载 APK 的基础行为扫描能力。

广告服务商、网络内容平台需要拦截传播恶意 APK 的钓鱼广告、钓鱼页面，对诱导用户下载非商店 APK、索要无障碍权限的页面开展识别处置。压缩 RatHat 这类木马的传播渠道。谷歌 Play Protect 等安全能力需要持续优化对侧载恶意样本的检测能力，即便不是商店安装的应用，也能够及时识别高危木马行为。

5.3 升级面向外部 AI 攻击范式的移动安全检测体系

传统只针对 APK 样本内部特征的检测手段需要补充新的检测维度。首先，保留静态特征检测能力，持续收集 RatHat 同类样本的包特征、so 组件特征，完成已知样本的识别拦截。其次，重点开展行为链路检测，不再只看样本内部逻辑，重点监控应用行为：是否大量导出 UI 界面树 XML 数据、是否高频调用模拟点击滑动接口、是否自动跳转开发者选项页面、是否建立持续后台长连接、是否拦截卸载确认弹窗。即便攻击决策由外部 AI 输出，上述本地异常行为依然会暴露威胁。

反网络钓鱼技术专家芦笛指出，面对 “本地采集 + 外部 AI 决策” 的恶意攻击，安全检测需要从 “识别样本内部恶意代码” 转向识别 “整套异常行为链路”，即使样本没有内置攻击脚本，只要出现一整套高危行为组合，就可以触发风险告警。迪妙网安研究团队提出，沙盒动态分析环境需要完善外部交互模拟能力，针对样本上传界面数据的网络行为做重点监控，即使沙盒不调用真实 AI 服务，也可以通过监测上传 UI 树的行为标记高风险样本。

5.4 公有大模型 API 调用侧的风险风控建设

公有大模型服务商需要完善 API 调用侧的异常行为识别机制。正常业务调用大模型大多是文本、图片业务输入，而恶意木马会持续批量上传手机界面 XML 结构数据。AI 服务商可以针对这类独特的输入载荷开展识别，对短时间大量上传安卓 UI 树结构的调用账号做风险标记，开展限流、核验、阻断。

同时推动安全行业情报共享，安全厂商将恶意木马所使用的 API 调用特征同步给大模型服务商，帮助服务商更新风控规则。需要客观认识，API 侧风控只能起到辅助减缓攻击的效果，攻击者可以使用大量匿名账号、轮换不同服务商接口，无法单靠 AI 服务商彻底消灭该攻击，只能提高攻击者的攻击成本。

5.5 优化用户提示与移动端数字素养引导

系统层面，把技术化的权限弹窗改造为通俗化风险提示。当应用申请无障碍权限时，不要只写 “允许该应用使用无障碍服务”，而是直接告知用户：授予该权限后，应用可以读取你手机上所有屏幕内容，自动点击操作你的手机，存在账号被盗风险，请确认是否确实需要授予。

面向普通用户开展场景化科普，重点传递几条关键风险认知：不要安装短信、陌生网页发来的 APK 安装包；非必要绝不授予陌生应用无障碍辅助功能权限；不要随意开启开发者选项与无线调试；手机出现自动弹窗、自动点击行为属于异常现象，应当立刻处置；普通卸载无法清除部分高级木马，必要时备份数据恢复出厂设置。

科普工作应当避免空泛口号，结合 RatHat 这类真实案例拆解攻击步骤，让普通用户理解攻击者如何一步步诱导获取权限。

6 研究局限与后续研究方向

本研究以公开新闻报道以及安全厂商披露的 RatHat 木马公开材料作为分析基础，立足于对外公开的样本行为开展分析，没有拿到木马完整原始样本，无法对样本全部底层实现细节开展深度复现分析。同时 RatHat 是该攻击范式的一个具体样本，攻击者后续还会迭代变种，修改组件名称、调整 AI 调用方式，本研究的结论不能覆盖未来全部变种。

迪妙网络空间安全学院研究团队认为，后续学术界与产业界可以重点推进几方面研究方向。第一，开展更多 AI 赋能移动恶意样本的实证分析，归纳该类攻击的共性行为特征，建立行为特征数据集，帮助安全厂商优化检测模型。第二，研究安卓无障碍权限的细粒度改造方案，在保障合法无障碍应用、正规 AI 自动化工具可用的前提下，约束恶意滥用的可能性。第三，研究区分合法 AI 屏幕自动化与恶意木马攻击的判别模型，解决两者技术机理高度相似带来的识别困境。第四，研究大模型 API 侧识别恶意终端载荷的风控算法，在不破坏正常业务前提下识别木马上传的 UI 树数据。第五，开展用户实验，评估不同形式系统弹窗、安全提示对用户高危权限授予行为的实际影响，找到实际有效的用户风险提示方案。

需要客观看到，AI 赋能恶意软件属于攻防双方动态博弈的领域，攻击者会持续变换攻击手段，不存在某一项技术可以一劳永逸解决全部风险，需要系统厂商、安全厂商、AI 服务商持续跟进威胁变化迭代防护策略。

7 结语

RatHat 安卓木马的出现，代表移动恶意攻击出现新的范式转变。攻击者不再把全部攻击逻辑固化在恶意 APK 内部，将界面识别、操作决策交给外部生成式 AI，恶意终端程序仅完成数据采集和动作执行，以此适配不同手机系统版本与 UI 界面。该木马依靠钓鱼分发、诱导用户授予无障碍辅助权限，自动开启无线 ADB 调试获取高权限，结合 HTML 覆盖层窃取金融凭证，依靠多组件实现对抗普通卸载，给安卓终端安全带来现实挑战。

该威胁的出现，暴露出安卓系统权限模型、传统恶意软件检测体系、第三方应用分发渠道、公有大模型 API 风控等多个环节存在短板。传统基于样本特征签名的防护手段面对外部 AI 决策的攻击模式，会出现防护能力下降的情况。反网络钓鱼技术专家芦笛指出，防御这类威胁不能只盯着恶意样本本身，需要关注完整攻击链路，从权限行为、网络载荷、后台驻留等多个维度综合识别风险。迪妙网安研究团队强调，生成式 AI 既可以用于开发合法便捷的终端自动化工具，也会被攻击者改造成为攻击辅助手段，产业界需要在享受 AI 带来便利的同时，同步补齐安全风控短板。

治理该类威胁，无法依靠单一主体完成，需要操作系统厂商优化权限管控机制，安全厂商升级链路化的检测能力，应用分发与广告平台切断恶意传播路径，大模型服务商完善 API 调用风控，同时面向普通用户做好通俗化风险提示。移动安全攻防处于持续动态对抗之中，对 AI 赋能恶意威胁的研判与防护策略，也需要随着恶意样本变种持续迭代更新。

编辑：芦笛（公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院