RatHat usa IA para controlar Android de forma autónoma

El nuevo troyano Android RatHat conectó la IA generativa al control del teléfono inteligente y aprendió a buscar por sí mismo los elementos de la interfaz necesarios, pulsar botones, desplazarse por la pantalla y obtener privilegios de sistema sin comandos constantes del operador.

El equipo zLabs de Zimperium detectó RatHat en campañas de smishing por SMS, publicidad maliciosa y sitios de descarga falsos. La víctima es persuadida para instalar manualmente un APK, tras lo cual el programa consigue acceso a las funciones especiales de Android. Ese acceso permite leer la estructura de la interfaz e interactuar con los elementos de otras aplicaciones.

RatHat convierte la accesibilidad en una herramienta de automatización. El malware serializa el árbol de interfaz actual en XML y envía los datos a uno de los asistentes de IA generativa más populares. El modelo recibe el nombre del elemento necesario y devuelve sus coordenadas, determina el texto en pantalla y emite comandos como desplazarse hacia abajo. Gracias a este enfoque, RatHat no depende únicamente de escenarios rígidamente definidos y puede adaptarse a cambios en la interfaz.

Después de obtener acceso, RatHat abre los ajustes por sí mismo, pulsa siete veces sobre el número de compilación, activa el modo de desarrollador y habilita la depuración inalámbrica ADB. Luego el troyano abre la ventana de emparejamiento, lee el código de seis dígitos y el puerto, tras lo cual el cliente ADB integrado se conecta al mismo teléfono mediante la interfaz local. No se necesita un ordenador para ese procedimiento.

El acceso vía ADB saca el ataque del sandbox habitual de Android. RatHat lanza un agente separado en Go con privilegios de shell del sistema, concede permisos adicionales a la aplicación, desactiva las restricciones de ejecución en segundo plano y despliega un túnel proxy inverso hacia el servidor de los atacantes. El componente en segundo plano vive separado del APK instalado, por lo que después de eliminar la aplicación RatHat puede reinstalarse y recuperar los permisos necesarios.

La fase financiera del ataque combina ventanas falsas de aplicaciones bancarias y de criptomonedas, la intercepción de SMS y notificaciones con códigos de verificación, la grabación de entradas y el espionaje de la pantalla. RatHat también lee las coordenadas de los toques directamente desde /dev/input. Conociendo la disposición del teclado numérico en un dispositivo concreto, el troyano es capaz de reconstruir el PIN o el patrón incluso donde Android protege los datos frente a capturas de pantalla y la accesibilidad. Una apuesta similar por las funciones del sistema Android la usan otros troyanos bancarios modernos.

Las plantillas integradas de RatHat están destinadas, entre otras cosas, al robo de PIN y credenciales de los servicios de pago WeChat y Alipay. Zimperium vincula las muestras encontradas con operadores que, presumiblemente, operan desde China, pero no afirma una atribución definitiva. El análisis técnico también describe cuatro capas de protección contra el análisis, la corrupción de la estructura del APK, un AndroidManifest.xml deliberadamente complejo y técnicas que dificultan que los descompiladores analicen el código DEX.

El esquema de RatHat recuerda a RedHook, descubierto anteriormente. Este también activaba por sí mismo la depuración inalámbrica de Android, se conectaba a un servidor ADB local y obtenía privilegios de shell del sistema sin acceso root ni un ordenador externo.

Otro ejemplo cercano está relacionado con el troyano RatOn, que utilizó la accesibilidad para acciones automáticas dentro de aplicaciones bancarias. RatHat desarrolla esa idea más allá, añadiendo IA para orientarse en la interfaz y componentes del sistema independientes capaces de sobrevivir a la eliminación de la aplicación principal.