文章总结： 文档介绍一款名为SURXRAT的Android远程访问木马，以MaaS模式销售。其特点是在特定游戏运行时下载大型LLM模块，可能用于干扰性能或掩盖恶意行为。该木马重用ArsinkRAT框架，具备完整的数据窃取、远程控制及勒索屏幕锁定功能，滥用无障碍服务实现持久化，展示了AI与恶意软件结合的新威胁趋势。
综合评分： 87
文章分类： 恶意软件,移动安全,威胁情报,AI安全,逆向分析
能窃密、远控、勒索式屏幕锁定,利用大模型做掩护智能切换!新型Android木马SURXRAT
原创
suntiger
suntiger
二进制空间安全
2026年2月26日 15:58
北京
将二进制空间安全设为”星标⭐️”
第一时间收到文章更新
#
SURXRAT是一款以商业化模式运作的Android 远程访问木马（RAT）。该恶意软件以SURXRAT V5为品牌，通过Telegram 上的恶意软件即服务（MaaS） 网络进行销售。以下是SURXRAT V5的广告:
SURXRAT运营方的机器人推送:
从源码结构分析,SURXRAT很可能重用并扩展了ArsinkRAT框架并快速引入了新功能, 比较有意思的是, SURXRAT木马可按条件从Hugging Face 仓库下载一个超过 23GB的大型LLM 模块。在移动设备上部署如此体量的LLM并不常见,其触发条件包括:
(1).受感染设备上运行特定游戏应用,例如:Free Fire MAX x JUJUTSU KAISEN（com.dts.freefiremax) 、Free Fire x JUJUTSU KAISEN（com.dts.freefireth）
(2).Free Fire x JUJUTSU KAISEN（com.dts.freefireth）
根据评估,该LLM模块可能用于多种实验性目的, 例如:
#
-
故意制造设备或网络延迟，影响游戏体验，可能服务于干扰或付费作弊等场景；
-
降低系统性能，使受害者将异常归咎于设备性能，从而掩盖 SURXRAT 在后台的活动；
-
为未来能力铺路：集成 LLM 暗示可能用于 AI 辅助自动化、自适应社会工程或更强规避策略。
这种有条件、有针对性的LLM 部署 表明，SURXRAT运营方正在将人工智能作为扩展其操作灵活性的实验手段。
#
除 LLM 实验外，SURXRAT仍是一款功能完整的监控与远程控制平台。
权限与持久化：
- 安装后会诱导用户授予高风险权限，包括：位置、通讯录、短信、存储等。
- 进一步诱使用户开启 Android 无障碍服务（Accessibility Services），以便在无需持续交互的情况下监控屏幕并自动化操作。
C&C与数据窃取：
- 连接至 Firebase 实时数据库：
hxxps://xrat-sisuriya-default-rtdb.firebaseio[.]com使用的数据库引用名为 「arsinkRAT」，再次印证与 ArsinkRAT 的渊源。 - 为设备生成随机UUID作为唯一标识，随后开始数据窃取。
窃取的数据类型包括：
- 短信、通讯录、通话记录
- Gmail 账户数据、浏览器历史、剪贴板
- 设备品牌与型号、Android 版本、电池状态
- SIM 信息、网络信息、蜂窝情报、Wi-Fi 历史
- 公网 IP 地址
这些数据可用于:凭据窃取、OTP 拦截、用户画像以及为金融欺诈或账户接管做准备。
远程控制能力：
- 通过持久化后台服务与基于Firebase 的C&C近实时同步并执行指令。
- 攻击者可：录音、拍照、枚举文件、获取已安装应用列表、发短信、拨打电话、控制手电筒、更换壁纸、擦除存储、远程解锁设备等。
勒索式屏幕锁定：
- 内置勒索式屏幕锁定器。激活后会在设备上显示攻击者定义的全屏锁定界面和 PIN 要求。
- 错误PIN尝试会被记录并上传到后端，攻击者可实时观察受害者行为。
- 攻击者可随时远程解除锁定。
- 该功能使SURXRAT运营方可根据受害者价值在监控、欺诈与直接勒索之间灵活切换，形成混合变现模式。
以下是勒索式屏幕锁实现代码:
#
(全文完)
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：二进制空间安全 suntiger
suntiger《能窃密、远控、勒索式屏幕锁定,利用大模型做掩护智能切换!新型Android木马SURXRAT》