साइबर सुरक्षा फर्म Group‑IB ने RedHook Android मैलवेयर के नवीनतम संस्करण का विस्तृत विश्लेषण किया और पाया कि यह अब वायरलेस डिबगिंग (Wireless ADB) को एक नई, अधिक उन्नत तरीके से उपयोग कर रहा है। पहले के 2025 के संस्करण की तुलना में इस संस्करण में कार्यक्षमता का विस्तार हुआ है, जबकि मूल RAT (Remote Access Trojan) क्षमताएँ—जैसे स्क्रीन स्ट्रीमिंग, कीस्ट्रोक इंटरसेप्शन, UI ऑटोमेशन और क्रेडेंशियल चुराना—जारी रखी गई हैं।

Wireless ADB की तकनीकी पृष्ठभूमि

ADB (Android Debug Bridge) गूगल का डिबगिंग इंटरफ़ेस है, जो उपयोगकर्ता को कमांड‑लाइन से Android डिवाइस को नियंत्रित करने देता है। Android 11 से पेश किया गया Wireless ADB, USB के बिना समान क्षमता प्रदान करता है, जिससे डिवाइस को नेटवर्क के माध्यम से कनेक्ट किया जा सकता है। RedHook इस सुविधा का दोहन करके स्वयं को डिवाइस के ADB क्लाइंट के रूप में स्थापित करता है। यह प्रक्रिया तब शुरू होती है जब मैलवेयर पीड़ित को Accessibility अनुमति देने के लिए धोखा देता है, जिससे वह स्वचालित रूप से सेटिंग्स बदलकर डेवलपर विकल्पों को सक्रिय करता है और वायरलेस डिबगिंग को चालू कर देता है।

हमले की चरणबद्ध प्रक्रिया

एक बार जब वायरलेस डिबगिंग सक्रिय हो जाता है, तो मैलवेयर स्क्रीन पर दिखाई देने वाला पेरिंग कोड पढ़ता है और लूपबैक इंटरफ़ेस (127.0.0.1) के माध्यम से डिवाइस के ADB सेवा से कनेक्ट हो जाता है। सफल पेरिंग के बाद, यह शैल (UID 2000) अधिकार प्राप्त करता है—जो सामान्य ऐप्स से कहीं अधिक शक्तिशाली होते हैं, हालांकि यह पूर्ण रूट नहीं है। इस चरण में कोई रूटिंग आवश्यक नहीं होती, इसलिए यह सभी Android डिवाइसों पर काम करता है, बशर्ते उपयोगकर्ता अनजाने में Accessibility सेवा की अनुमति दे दे।

Shizuku फ्रेमवर्क का दुरुपयोग

RedHook आगे Shizuku‑आधारित फ्रेमवर्क को तैनात करता है, जो मूल रूप से पावर‑यूज़र्स और डेवलपर्स के बीच लोकप्रिय एक वैध टूल है। मैलवेयर इस टूल को libmx.so लाइब्रेरी के रूप में चलाकर UID 2000 के तहत विशेष Android API को कॉल करता है, जिससे वह शैल कमांड चलाता, अतिरिक्त अनुमतियाँ प्राप्त करता, प्रोटेक्टेड सेटिंग्स बदलता, और बिना उपयोगकर्ता संवाद के ऐप इंस्टॉल या अनइंस्टॉल कर सकता है।

मैलवेयर की क्षमताएँ और स्थायित्व तंत्र

Group‑IB की रिपोर्ट के अनुसार, वर्तमान संस्करण 53 सर्वर‑आधारित कमांड का समर्थन करता है, जिनमें स्क्रीन स्ट्रीमिंग, स्क्रीनशॉट कैप्चर, टैप‑स्वाइप सिमुलेशन, डिवाइस लॉक/अनलॉक, ऐप इंस्टॉल/अनइंस्टॉल, संपर्क एवं SMS संग्रह, नकली वेरिफिकेशन डायलॉग बनाना, कैमरा सक्रिय करना और डिवाइस रीबूट शामिल हैं। स्थायित्व के लिए मैलवेयर कई तंत्र अपनाता है: साइलेंट ऑडियो प्लेबैक द्वारा प्रोसेस प्रायरिटी बढ़ाना, WakeLocks के ज़रिए CPU को स्लीप न देना, दो सेवाओं का आपसी रीस्टार्ट, पाँच मिनट की वॉचडॉग अलार्म, बूट पर स्वचालित रीस्टार्ट, और oom_score_adj को -1000 सेट करके मेमोरी प्रेशर में मार्जिन को कम करना।

वितरण और उपयोगकर्ता सुरक्षा सलाह

RedHook का वितरण मुख्यतः सामाजिक इंजीनियरिंग के माध्यम से होता है—हमलावर सरकारी एजेंसियों या वित्तीय संस्थानों का रूप धारण करके फ़ोन कॉल या मैसेज के ज़रिए पीड़ितों को नकली Google Play साइटों की ओर आकर्षित करते हैं। Android उपयोगकर्ताओं को केवल आधिकारिक Google Play से ही ऐप्स इंस्टॉल करने, इंस्टॉलेशन के दौरान अनुमति अनुरोधों की सावधानीपूर्वक जाँच करने और Play Protect को सक्रिय रखने की सलाह दी जाती है।