El nuevo malware RatHat para Android usa IA para controlar dispositivos

Investigadores de Zimperium zLabs hanalizado una nueva familia de malware para Android llamada RatHat, que utiliza un subsistema impulsado por IA para ayudar a los operadores a navegar de forma remota por dispositivos comprometidos. Los investigadores creen que podría estar vinculada a actores de amenazas de China tras encontrar indicaciones en chino para un modelo de lenguaje grande.

RatHat se distribuye mediante publicidad maliciosa, SMS y sitios de phishing que promocionan descargas de APK fuera de Google Play. Abusa de los permisos de Accessibility de Android para realizar acciones privilegiadas, activa Developer Options y Wireless Debugging, y crea un contexto de ejecución local a nivel de shell sin necesidad de un ordenador externo. ToxicPanda y RedHook han utilizado mecanismos similares.

Un agente basado en Go, liblocal-service.so, ejecuta comandos con privilegios de shell de ADB, elude las restricciones de batería y mantiene la persistencia. El malware puede restaurar el agente si se elimina o se detiene, mientras que el agente puede restaurar el malware. Otro agente, libmedia_codec.so, establece un túnel de proxy inverso FRP persistente hacia el atacante.

RatHat muestra superposiciones HTML dirigidas a aplicaciones bancarias y de criptomonedas para capturar credenciales. También puede interceptar SMS y notificaciones, incluidas contraseñas de un solo uso, extraer URL del navegador y capturar PIN, contraseñas y patrones de desbloqueo de la pantalla de bloqueo.

Zimperium afirma que el malware serializa en XML el árbol activo de Accessibility de Android y lo envía a un popular asistente de IA cuyo nombre no se ha revelado. Los investigadores también observaron la interceptación de la desinstalación, una superposición de error falsa de Google Play, manipulación de APK, un manifiesto inflado de 61MB e instrucciones pseudo-DEX no válidas para dificultar el análisis.