Nieuwe Android-malware gebruikt Gemini AI om te leren hoe het op specifieke apparaten kan draaien

Het is geen geheim dat AI overal aan wordt toegevoegd. De bedrijven die dit doen, willen dat we geloven dat het ons leven beter maakt, maar AI wordt uiteraard ook op kwaadaardige manieren gebruikt. Een nieuwe ontdekking toont aan dat Googles eigen Gemini AI wordt gebruikt om malware op verschillende Android-apparaten te laten draaien.

Onderzoekers bij ESET Cybersecurity hebben recent een nieuw type malware ontdekt dat ze 'PromptSpy' noemen. Het verschilt van eerdere malware die machine learning gebruikte. Android-apparaten zijn allemaal net iets anders, en PromptSpy gebruikt generatieve AI om zich in realtime aan elk apparaat aan te passen.

Hier is hoe het werkt: Bijna alle Android-apparaten hebben een soort functie waarmee gebruikers een app kunnen vastzetten of vergrendelen in de lijst van recente apps (niet hetzelfde als App Pinning). Dit zorgt ervoor dat de app actief blijft op de achtergrond, zelfs als de gebruiker deze een tijdje niet heeft geopend. Als een app niet is vastgezet, zal het Android-besturingssysteem deze uiteindelijk sluiten om middelen elders aan te besteden. Malware kan deze functie gebruiken om stiekem actief te blijven op de achtergrond.

Het probleem voor malware is dat de manier waarop apparaten apps vastmaken of vergrendelen sterk varieert per fabrikant. Dus, PromptSpy voert een XML-dump van het huidige scherm naar Gemini, en Gemini gebruikt dat om het apparaat te identificeren en de juiste instructies te sturen over hoe een app vast te maken terug naar PromptSpy. Vervolgens probeert het de app vast te maken, en laat het Gemini dubbel controleren of het is gelukt. Dit gebeurt in een lus totdat wordt bevestigd dat de app succesvol is vastgemaakt.

Zodra PromptSpy toegang heeft tot het apparaat, kan het je lockscreen-PIN of wachtwoord lezen, een video opnemen van je patroonontgrendeling, schermafbeeldingen en schermactiviteit vastleggen wanneer het maar wil, en gewoon over het algemeen bijhouden wat je doet. Het bevat ook een VNC-module, wat vooral gevaarlijk is omdat het een externe aanvaller volledige controle over je apparaat geeft alsof ze het in hun handen zouden houden.

Het plezier stopt echter niet bij AI. Als de gebruiker uitvindt wat er gaande is, maakt PromptSpy het ook moeilijk om het te stoppen door transparante rechthoeken over de knoppen "Verwijderen" of "Deactiveren" te plaatsen. Je denkt dat je ervan afkomt, maar je tapt eigenlijk op dode zones die niets doen.

Het goede nieuws is dat ESET dit nog niet op grote schaal heeft zien verspreiden, en het zou nog steeds in een test- of proof-of-conceptfase kunnen zijn. De monsters werden echter gevonden op een domein dat zich voordeed als JPMorgan Chase, dus de intentie om te stelen is duidelijk aanwezig. Als je ooit het gevoel hebt dat je geïnfecteerd bent met iets zo slims, raadt de ESET-onderzoeker aan om opnieuw op te starten in de Veilige Modus. Dit schakelt toepassingen van derden uit en zorgt ervoor dat niets in de weg kan staan wanneer je probeert de malware te verwijderen.

Via: Bleeping Computer