RatHat: um RAT Android pilotado por IA que lê o ecrã para se orientar

Os investigadores da zLabs da Zimperium publicaram detalhes sobre o RatHat, um trojan de acesso remoto para Android que utiliza IA generativa para decidir como navegar num dispositivo infetado. Em vez de executar um script fixo, o RatHat alimenta um modelo de IA com um instantâneo ao vivo dos elementos no ecrã do dispositivo, que lhe indica onde tocar a seguir — um comportamento que, segundo os investigadores, é mais difícil de detetar pelo software de segurança do que o malware automatizado tradicional. A Zimperium afirma que os padrões linguísticos nos prompts do malware apontam para origens em língua chinesa.

Como se propaga e opera

O RatHat chega às vítimas através de malvertising, SMS e sites de phishing que promovem transferências de APK fora da Google Play. Uma vez instalado, abusa dos serviços de Acessibilidade do Android para ativar a depuração sem fios e ligar-se ao Android Debug Bridge, o que lhe permite escapar ao sandboxing normal das aplicações e executar comandos com permissões elevadas. A partir daí, consegue ler a entrada bruta do ecrã tátil para inferir PINs e palavras-passe, e sobrepõe ecrãs falsos de banca, pagamentos e carteiras de criptomoedas para capturar credenciais e códigos de utilização única. A Zimperium afirma que o malware visa principalmente aplicações financeiras como o WeChat Pay e o Alipay, juntamente com outros serviços regionais, e associou 162 aplicações infetadas a cerca de uma dúzia de servidores controlados pelos operadores.

Porque resiste à remoção

O RatHat executa um serviço oculto independente da aplicação visível, o que lhe permite reinstalar-se e recuperar permissões depois de um utilizador tentar removê-lo. Também combate ativamente a desinstalação: interceta a confirmação de desinstalação do sistema e apresenta um erro falso do Google Play para fazer parecer que a remoção falhou. A Zimperium documenta ainda várias técnicas de anti-análise — um manifesto deliberadamente inchado e estruturas de código malformadas — concebidas para atrasar os investigadores e os scanners automatizados.

O que os MSP podem fazer

• Bloquear o sideloading e fontes de aplicações desconhecidas nos perfis de trabalho geridos.
• Permitir apenas serviços de Acessibilidade de aplicações aprovadas e alertar sobre novos pedidos.
• Desativar o acesso não autorizado a ADB ou opções de programador em dispositivos geridos.
• Encaminhar os alertas de defesa contra ameaças móveis e EMM para o SIEM com um responsável designado e um SLA.
• Informar os utilizadores de que o suporte remoto legítimo só é feito através do seu próprio canal RMM, nunca através de um APK transferido.

Não existe uma única correção para o RatHat — é um problema de deteção e higiene, não uma CVE. Se um dispositivo gerido resistir a uma tentativa normal de remoção, desligue-o de contas e redes sensíveis antes de tentar novamente, em vez de assumir que uma segunda limpeza terá sucesso onde a primeira falhou.

Fontes: BleepingComputer, resumo da investigação da Zimperium.