Els investigadors de ciberseguretat han posat el focus en una nova amenaça per a dispositius Android. Es tracta de RatHat, un troià bancari amb intel·ligència artificial capaç de manejar el telèfon infectat de manera autònoma. Aquest sistema reconeix visualment els elements en pantalla i decideix per si mateix quines accions executar, eliminant la necessitat que un ciberdelinqüent intervingui en temps real. Una troballa que, sens dubte, posa en alerta els usuaris de banca mòbil.
El descobriment ve de la mà de Zimperium zLabs, firma especialitzada en seguretat mòbil . Els investigadors Gianluca Braga, Vishnu Pratapagiri i Fernando Ortega han assenyalat que el codi maliciós seria operat per actors amb base a la Xina. RatHat es propaga principalment mitjançant campanyes de smishing (missatges de text fraudulents) i publicitat maliciosa que redirigeixen les víctimes a portals de descàrrega de tercers. Per tant, el vector d'infecció és ben conegut, però la sofisticació d'aquest troià marca abans i després.
Així roba el troià les credencials bancàries
En essència, RatHat funciona com un troià bancari clàssic : genera una capa invisible que se superposa cada cop que la víctima obre l'aplicació del seu banc. Amb aquesta superposició, captura les credencials d'accés i les contrasenyes d'un sol ús. Així, els atacants obtenen control directe sobre els comptes bancaris dels usuaris afectats. Però no s'hi queda: el codi maliciós també utilitza l'API MediaProjection d'Android per gravar la pantalla, intercepta els missatges SMS i desplega una superposició falsa que imita un missatge d'error de la Google Play Store quan la víctima intenta desinstal·lar-lo.
El component d'intel·ligència artificial que ho fa únic
El que distingeix RatHat d'altres troians bancaris per a Android és la seva capacitat de recolzar-se en intel·ligència artificial per navegar i controlar el dispositiu compromès. Normalment, els desenvolupadors d'aquest tipus de codi maliciós han de programar manualment les coordenades exactes de cada element en pantalla, com ara la ubicació del camp de contrasenya o el botó d'inici de sessió. Si l'aplicació bancària canvia el disseny, el codi maliciós deixa de funcionar. Amb la incorporació d'un assistent d'IA aquest problema desapareix. El codi maliciós serialitza l'arbre d'accessibilitat del dispositiu en format XML i l'envia a un assistent d'IA generativa, que respon amb instruccions sobre com cal procedir. Segons va explicar Zimperium, el model es fa servir per resoldre les coordenades centrals d'un element en pantalla i dirigir clics sintètics, identificar el text real que apareix a la pantalla i emetre ordres de navegació automàtica, com ara desplaçar-se cap avall.
Arquitectura i accés privilegiat
RatHat abusa dels permisos d'Accessibilitat d'Android per desbloquejar les Opcions de Desenvolupador, habilitar la depuració sense fil i extreure el codi d'aparellament de sis dígits de l'Android Debug Bridge (ADB). Amb aquest codi aconsegueix l'autoaparellament local amb l'ADB, cosa que us permet sortir del sandbox estàndard de les aplicacions d'Android i executar processos independents amb privilegis de nivell shell. L'arquitectura del codi maliciós està composta per tres peces: l'aplicació Android maliciosa, que actua com a via d'entrada per obtenir permisos crítics del sistema; un "Go Agent" que es camufla com una biblioteca nativa del sistema i executa ordres aprofitant l'accés shell; i un client de servidor intermediari invers FRP, que estableix un túnel segur amb el servidor d'ordre i control dels atacants.
Persistència i tècniques antianàlisi
Fins i tot si la víctima aconsegueix desinstal·lar l'aplicació, l'atacant conserva accés shell al dispositiu , cosa que li permet verificar si el codi maliciós continua instal·lat i reinstal·lar-lo en cas de no trobar-lo. RatHat també incorpora un registrador de tecles a nivell de maquinari, executat pel Go Agent, capaç de registrar les pulsacions de dit a la pantalla. El paquet d'instal·lació funciona com un “dropper” que llança la càrrega maliciosa principal i incorpora quatre tècniques antianàlisi: manipulació del contenidor del paquet, una “bomba de manifest” que provoca errors o bloquejos en els sistemes automatitzats d'anàlisi, enverinament del bytecode DEX per fer fallar el procés de desencoblament, i un esquema de doble.
Dades que podeu robar
Les ordres emeses pel servidor d'ordre i control permeten als atacants recol·lectar missatges SMS, credencials, arxius, el PIN, patró o contrasenya de bloqueig de pantalla , captures de pantalla, pulsacions de teclat —incloses les adreces web escrites al navegador— i el llistat d'aplicacions instal·lades al dispositiu. "Aquesta connexió és utilitzada pels atacants per tenir accés al dimoni d'ADB: és un camí de propòsit general cap al dispositiu que transporta el que l'operador vulgui, independentment de les funcions pròpies del codi maliciós", van explicar els investigadors de Zimperium.
De moment, no hi ha informació disponible sobre la identitat dels objectius de la campanya ni sobre la quantitat de dispositius que podrien haver estat compromesos. El que és clar és que la combinació d'IA i accés ADB converteix RatHat en una amenaça especialment perillosa per als usuaris d'Android. Els experts recomanen mantenir el sistema actualitzat, evitar la instal·lació d'aplicacions fora de les botigues oficials i parar atenció als permisos que es concedeixen a les aplicacions. La detecció primerenca és clau per mitigar limpacte.
