RatHat: un RAT para Android pilotado por IA que lee la pantalla para orientarse

Los investigadores de zLabs de Zimperium han publicado detalles sobre RatHat, un troyano de acceso remoto para Android que utiliza IA generativa para decidir cómo navegar por un dispositivo infectado. En lugar de ejecutar un guion fijo, RatHat envía una instantánea en vivo de los elementos en pantalla del dispositivo a un modelo de IA, que le indica dónde pulsar a continuación, un comportamiento que, según los investigadores, es más difícil de detectar para el software de seguridad que el malware automatizado tradicional. Zimperium señala que los patrones lingüísticos de las instrucciones del malware apuntan a un origen en lengua china.

Cómo se propaga y opera

RatHat llega a las víctimas mediante publicidad maliciosa, SMS y sitios de phishing que promueven descargas de APK fuera de Google Play. Una vez instalado, abusa de los servicios de accesibilidad de Android para habilitar la depuración inalámbrica y enlazar con el Android Debug Bridge, lo que le permite escapar del aislamiento normal de las aplicaciones y ejecutar comandos con permisos elevados. A partir de ahí puede leer la entrada táctil en bruto para inferir PIN y contraseñas, y superpone pantallas falsas de banca, pagos y monederos de criptomonedas para capturar credenciales y códigos de un solo uso. Zimperium afirma que el malware se dirige principalmente a aplicaciones financieras como WeChat Pay y Alipay junto con otros servicios regionales, y ha vinculado 162 aplicaciones infectadas a aproximadamente una docena de servidores controlados por los operadores.

Por qué resiste la eliminación

RatHat ejecuta un servicio oculto independiente de la aplicación visible, lo que le permite reinstalarse y recuperar permisos después de que un usuario intente eliminarlo. También lucha activamente contra la desinstalación: intercepta la confirmación de desinstalación del sistema y muestra un error falso de Google Play para que la eliminación parezca haber fallado. Zimperium también documenta varias técnicas anti-análisis —un manifiesto deliberadamente hinchado y estructuras de código malformadas— diseñadas para ralentizar a los investigadores y a los escáneres automatizados.

Qué pueden hacer los MSP

• Bloquear la carga lateral y las fuentes de aplicaciones desconocidas en los perfiles de trabajo gestionados.
• Permitir únicamente servicios de accesibilidad de aplicaciones aprobadas y alertar sobre nuevas solicitudes.
• Deshabilitar el acceso no autorizado a ADB o a las opciones de desarrollador en los dispositivos gestionados.
• Enrutar las alertas de defensa contra amenazas móviles y de EMM al SIEM con un responsable y un SLA definidos.
• Informar a los usuarios de que el soporte remoto legítimo solo llega a través de su propio canal RMM, nunca mediante un APK descargado.

No existe un parche único para RatHat: es un problema de detección e higiene, no un CVE. Si un dispositivo gestionado se resiste a un intento normal de eliminación, desconéctelo de cuentas y redes sensibles antes de volver a intentarlo, en lugar de asumir que un segundo borrado tendrá éxito donde el primero no lo tuvo.

Fuentes: BleepingComputer, resumen de la investigación de Zimperium.