RatHat: un RAT Android pilotato dall'IA che legge lo schermo per orientarsi

I ricercatori del team zLabs di Zimperium hanno pubblicato dettagli su RatHat, un trojan di accesso remoto Android che usa l'IA generativa per decidere come muoversi all'interno di un dispositivo infetto. Invece di eseguire uno script fisso, RatHat invia un'istantanea in tempo reale degli elementi sullo schermo del dispositivo a un modello di IA, che gli indica dove toccare successivamente – un comportamento che, secondo i ricercatori, è più difficile da rilevare per i software di sicurezza rispetto al malware automatizzato tradizionale. Zimperium afferma che gli schemi linguistici nei prompt del malware indicano un'origine linguistica cinese.

Come si diffonde e opera

RatHat raggiunge le vittime tramite malvertising, SMS e siti di phishing che spingono al download di APK al di fuori di Google Play. Una volta installato, abusa dei servizi di accessibilità di Android per abilitare il debug wireless e collegarsi ad Android Debug Bridge, permettendogli di uscire dalla normale sandbox delle app ed eseguire comandi con privilegi elevati. Da lì può leggere l'input grezzo del touchscreen per dedurre PIN e password e sovrappone schermate false di banche, pagamenti e crypto-wallet per catturare credenziali e codici monouso. Zimperium afferma che il malware prende di mira soprattutto app finanziarie come WeChat Pay e Alipay, insieme ad altri servizi regionali, e ha collegato 162 app infette a circa una dozzina di server controllati dagli operatori.

Perché resiste alla rimozione

RatHat esegue un servizio nascosto indipendente dall'app visibile, il che gli consente di reinstallarsi e riottenere i permessi dopo che l'utente tenta di rimuoverlo. Inoltre contrasta attivamente la disinstallazione: intercetta la conferma di disinstallazione del sistema e mostra un finto errore di Google Play per far sembrare che la rimozione non sia riuscita. Zimperium documenta anche diverse tecniche anti-analisi – un manifest volutamente gonfiato e strutture di codice malformate – progettate per rallentare i ricercatori e gli scanner automatici.

Cosa possono fare gli MSP

• Blocca il sideloading e le origini app sconosciute nei profili di lavoro gestiti.
• Consenti i servizi di accessibilità solo alle app approvate e genera avvisi per le nuove richieste.
• Disattiva l'accesso non autorizzato ad ADB o alle opzioni sviluppatore sui dispositivi gestiti.
• Inoltra gli avvisi di mobile threat defense ed EMM al tuo SIEM con un responsabile definito e un SLA.
• Di' agli utenti che il supporto remoto legittimo arriva solo tramite il tuo canale RMM, mai tramite un APK scaricato.

Non esiste una patch singola per RatHat – è un problema di rilevamento e igiene, non una CVE. Se un dispositivo gestito resiste a un normale tentativo di rimozione, disconnettilo dagli account e dalle reti sensibili prima di riprovare, invece di presumere che una seconda cancellazione riesca dove la prima non è riuscita.

Fonti: BleepingComputer, sintesi della ricerca di Zimperium.