RatHat : un RAT Android piloté par IA qui lit l'écran pour se déplacer

Les chercheurs de zLabs chez Zimperium ont publié des détails sur RatHat, un cheval de Troie Android d'accès à distance qui utilise l'IA générative pour décider comment naviguer sur un appareil infecté. Au lieu d'exécuter un script fixe, RatHat transmet un instantané en direct des éléments affichés à l'écran à un modèle d'IA, qui lui indique où appuyer ensuite -- un comportement que les chercheurs jugent plus difficile à détecter par les logiciels de sécurité que les malwares automatisés traditionnels. Zimperium indique que les modèles linguistiques des invites du malware pointent vers des origines en langue chinoise.

Comment il se propage et fonctionne

RatHat atteint ses victimes via des publicités malveillantes, des SMS et des sites de phishing qui poussent des téléchargements d'APK en dehors de Google Play. Une fois installé, il abuse des services d'accessibilité d'Android pour activer le débogage sans fil et se connecter à l'Android Debug Bridge, ce qui lui permet d'échapper au bac à sable normal des applications et d'exécuter des commandes avec des permissions élevées. Il peut ensuite lire les entrées brutes de l'écran tactile pour déduire les codes PIN et mots de passe, et superposer de faux écrans bancaires, de paiement et de portefeuilles crypto pour capturer les identifiants et codes à usage unique. Zimperium précise que le malware cible principalement des applications financières telles que WeChat Pay et Alipay ainsi que d'autres services régionaux, et a lié 162 applications infectées à une douzaine de serveurs contrôlés par les opérateurs.

Pourquoi il résiste à la suppression

RatHat exécute un service caché indépendant de l'application visible, ce qui lui permet de se réinstaller et de récupérer les permissions après une tentative de suppression par l'utilisateur. Il lutte également activement contre la désinstallation : il intercepte la confirmation de désinstallation du système et affiche une fausse erreur Google Play pour faire croire que la suppression a échoué. Zimperium documente également plusieurs techniques anti-analyse -- un manifeste volontairement gonflé et des structures de code malformées -- conçues pour ralentir les chercheurs et les scanners automatisés.

Ce que les MSP peuvent faire

• Bloquer le sideloading et les sources d'applications inconnues sur les profils professionnels gérés.
• Autoriser uniquement les services d'accessibilité des applications approuvées et alerter sur les nouvelles demandes.
• Désactiver l'accès ADB ou aux options développeur non autorisé sur les appareils gérés.
• Intégrer les alertes de défense contre les menaces mobiles et d'EMM dans votre SIEM avec un propriétaire nommé et un SLA.
• Informer les utilisateurs que l'assistance à distance légitime ne passe que par votre propre canal RMM, jamais par un APK téléchargé.

Il n'existe pas de correctif unique pour RatHat -- il s'agit d'un problème de détection et d'hygiène, pas d'un CVE. Si un appareil géré résiste à une tentative de suppression normale, déconnectez-le des comptes et réseaux sensibles avant de réessayer, plutôt que de supposer qu'un second effacement réussira là où le premier a échoué.

Sources : BleepingComputer, Zimperium research summary.