נוזקת ArcticRAT משתמשת ב-Grok כדי לאתר את הכסף בטלפון שלכם

חוקרי אבטחה חשפו נוזקה חדשה לאנדרואיד שנעזרת בבינה מלאכותית כדי למצוא את הכסף של הקורבנות. נוזקת ArcticRAT, שנחשפה ב-12 בנובמבר במחקר של צוות zLabs בחברת האבטחה Zimperium, מעבירה הודעות SMS גנובות למודל Grok של xAI, החברה של אילון מאסק. המודל מסנן מתוכן בדיוק את מה שמעניין את התוקפים: קודים חד-פעמיים, שינויי יתרה והודעות על העברות כספים.

מהי נוזקת ArcticRAT ואיך היא פועלת

המונח RAT הוא קיצור של Remote Access Trojan, סוס טרויאני לשליטה מרחוק. במילים פשוטות: תוכנה שמתחפשת לאפליקציה רגילה, ואחרי ההתקנה נותנת לתוקף שליטה כמעט מלאה בטלפון.

לפי החוקרים, הנוזקה התחילה כרוגלה שכוונה למשתמשים של 11 אפליקציות קריפטו, והתפתחה לכלי מתקדם להשתלטות על המכשיר. הם זיהו 78 דגימות שונות ו-129 פקודות, והגרסאות שנמצאו מעידות שהפיתוח עדיין נמשך. את השימוש ב-AI הם זיהו לראשונה בדגימות מאמצע יולי 2026.

איך הנוזקה מגיעה לטלפון

ההדבקה בנוזקת ArcticRAT מתחילה באתר מזויף שנראה כמו חנות גוגל פליי. מגיעים אליו דרך פרסומות, הודעות SMS או פורומים. האפליקציה עצמה מתחזה לאמזון, לטיקטוק, למנהל קבצים או לאפליקציית קריפטו.

יש כאן טריק מתוחכם: בזמן ההתקנה האפליקציה מבקשת הרשאת VPN ומנתקת את הטלפון מהאינטרנט לכמה רגעים. לפי החוקרים, זה מסנוור את Google Play Protect, מערכת ההגנה המובנית של גוגל, בזמן שהנוזקה האמיתית מותקנת. בסוף ה-VPN נסגר, והמשתמש רואה מסך התקנה שנראה תמים.

מה Grok עושה בתוך הנוזקה

אף אחד לא פותח את אפליקציית Grok בטלפון שלכם. התוקפים שולחים לטלפון הנגוע מפתח גישה לממשק המפתחים של xAI, והנוזקה עצמה שולחת דרכו את המידע הגנוב לעיבוד, עם שתי הוראות מוכנות מראש. הראשונה עוברת על האפליקציות המותקנות ומסמנת אפליקציות של בנקים, קריפטו ומסחר. השנייה עוברת על ה-SMS, זורקת פרסומות ושומרת רק מידע כספי. לפי הדוח, המודל גם מתבקש להעריך את המצב הכלכלי של הקורבן.

במקום שהאקר יעבור ידנית על אלפי הודעות, הבינה המלאכותית עושה את זה בשבילו ומחזירה רשימה מסודרת.

הטלפון נראה כבוי, אבל מישהו עובד עליו

כדי לשלוט במכשיר, נוזקת ArcticRAT מבקשת הרשאת "נגישות". זו הרשאה שנועדה לעזור לאנשים עם מוגבלויות, והיא מאפשרת לאפליקציה לקרוא את המסך וללחוץ במקום המשתמש. מכאן התוקפים יכולים לעשות כמעט הכל:

"ניפוי באגים אלחוטי" הוא כלי למפתחים שהגיע באנדרואיד 11, ומאפשר לשלוט בטלפון דרך רשת ה-Wi-Fi. לפי החוקרים, הנוזקה מאתרת את השירות הזה בטלפון ומתחברת אליו עם קוד צימוד בן שש ספרות שהתוקף מספק. משתמש רגיל בדרך כלל לא צריך את הכלי הזה בכלל.

סימני אזהרה שיכולים להעיד על נוזקת ArcticRAT

שלושה דברים שאפשר לבדוק בדקה, לפי סימני האזהרה שהחוקרים פרסמו. חשוב להבהיר: אף אחד מהם לא מאשר או שולל הדבקה בוודאות. הם נועדו לזהות הרשאות והתנהגות חשודות.

• נגישות: פתחו את ההגדרות וחפשו "נגישות". אם אפליקציה שהתקנתם לאחרונה, ובטח כזו שלא הגיעה מגוגל פליי, מקבלת שם הרשאה, זה דגל אדום.
• ניפוי באגים אלחוטי: חפשו בהגדרות "ניפוי באגים". אם האפשרות מופעלת ואתם לא הפעלתם אותה, כבו אותה מיד.
• בקשת VPN מוזרה בזמן התקנה: את זה אי אפשר לבדוק בדיעבד, אבל זה הרגע לעצור. אפליקציה שהיא לא שירות VPN ומבקשת הרשאת VPN תוך כדי ההתקנה היא סימן מובהק.

אם אתם רואים סימנים נוספים, כמו סוללה שמתרוקנת מהר או אפליקציות שלא התקנתם, כדאי לעבור על הסימנים שהטלפון נפרץ. במקרה של חשד אמיתי, התקשרו לבנק מטלפון אחר. לפני איפוס יצרן גבו רק קבצים אישיים כמו תמונות ואנשי קשר, ואחרי האיפוס אל תשחזרו אפליקציות מגיבוי ישן.

חשוב לדייק: המחקר לא מצביע על קמפיין שמכוון לישראל, וגם לא מפרט כמה מכשירים נדבקו. מצד שני, לפי הדוח, הנוזקה מתאימה את המסכים המזויפים לשפה ולאזור של המכשיר, כך שאת הכלל הבסיסי כדאי לזכור בכל מקרה: מתקינים אפליקציות רק מחנות גוגל פליי עצמה, לא מקישור שהגיע ב-SMS.

את המחקר המלא של Zimperium אפשר לקרוא באתר החברה.