- Zimperium zLabs descubre RatHat, un troyano bancario con IA que automatiza ataques en Android.
- Se distribuye por smishing y publicidad maliciosa, abusando de permisos de accesibilidad y ADB.
- Su sistema de IA interpreta la pantalla y adapta la navegación sin intervención humana.
- Posee mecanismos de persistencia y robo de credenciales, SMS, PIN y pulsaciones.
Un nuevo malware para Android está llevando el control remoto de los dispositivos a un terreno todavía más sofisticado. RatHat incorpora un sistema basado en inteligencia artificial capaz de interpretar la interfaz de un móvil infectado y decidir cómo interactuar con ella, permitiendo a los atacantes automatizar acciones que hasta ahora dependían en mayor medida de instrucciones predefinidas.
El descubrimiento ha sido realizado por los investigadores de Zimperium zLabs, que han analizado las capacidades de esta amenaza. RatHat estaría llegando a los usuarios mediante campañas de publicidad maliciosa, SMS y páginas de phishing que ofrecen archivos APK fuera de Google Play. Una vez instalado, el malware intenta conseguir permisos de accesibilidad de Android, que utiliza para realizar acciones con un nivel elevado de control sobre el dispositivo. Además, activa las opciones de desarrollador y la depuración inalámbrica para obtener acceso a una consola local con privilegios de ADB, sin necesidad de conectar físicamente el teléfono a un ordenador.
Qué es RatHat y cómo se distribuye
RatHat es un troyano bancario identificado por los especialistas en seguridad móvil Gianluca Braga, Vishnu Pratapagiri y Fernando Ortega. Los investigadores lo vinculan con actores de amenaza con base en China, aunque este indicio no permite confirmar por sí solo el origen de los responsables. La distribución se apoya en campañas de smishing y publicidad maliciosa que redirigen a las víctimas hacia portales de descarga fraudulentos, en ocasiones suplantando aplicaciones populares como Google Chrome.
El paquete de instalación funciona como un “dropper” que lanza la carga maliciosa principal. Una vez dentro del sistema, la aplicación solicita permisos de accesibilidad, un mecanismo legítimo de Android pensado para ayudar a personas con discapacidades, pero que en manos de esta amenaza se convierte en una puerta de entrada a funciones sensibles.
Cómo funciona la inteligencia artificial de RatHat
La principal novedad de RatHat reside en su sistema de automatización basado en IA. En lugar de depender de instrucciones programadas para una interfaz concreta, el malware recopila la estructura visual de Android y la transforma en un documento XML. Ese XML se envía a un asistente de inteligencia artificial generativa que identifica elementos de la pantalla, determina su posición, interpreta textos visibles y devuelve instrucciones para desplazarse por los menús. Así, puede adaptarse a cambios en el diseño de las aplicaciones sin necesidad de reprogramación.
Zimperium explica que “RatHat utiliza IA para navegar y controlar inteligentemente la interfaz del dispositivo en tiempo real”. Esta capacidad hace que sus operaciones sean más flexibles y difíciles de detectar que las automatizaciones tradicionales basadas en guiones fijos.
Qué capacidades de robo tiene este malware
RatHat genera una capa invisible que se superpone sobre aplicaciones bancarias y de criptomonedas para capturar credenciales de acceso y contraseñas de un solo uso. También intercepta mensajes SMS, lee notificaciones, registra pulsaciones de teclado y extrae el PIN, patrón o contraseña de desbloqueo. El malware puede grabar la pantalla mediante la API de MediaProjection y obtener el listado completo de aplicaciones instaladas en el dispositivo.
La arquitectura del troyano se compone de tres piezas: la aplicación maliciosa que actúa como vía de entrada, un “Go Agent” que se camufla como biblioteca nativa y ejecuta comandos con privilegios de shell, y un cliente de proxy inverso FRP que establece un túnel seguro con el servidor de comando y control. Incluso si la víctima desinstala la aplicación, el atacante conserva acceso remoto al dispositivo y puede reinstalar el malware de forma automática.
Además, RatHat incorpora técnicas antianálisis como una “bomba de manifiesto” de 61 MB, envenenamiento del bytecode DEX y un esquema de doble cifrado de cadenas de texto denominado StringCrypto. También es capaz de bloquear los intentos de desinstalación mostrando una falsa interfaz de Google Play con un mensaje de error.
Recomendaciones de seguridad y mitigación
Los expertos aconsejan instalar aplicaciones únicamente desde Google Play y desconfiar de cualquier app que solicite permisos de accesibilidad sin una razón justificada. Nunca se deben activar las opciones de desarrollador o la depuración inalámbrica a menos que se comprenda perfectamente su finalidad. Mantener actualizada la solución antimalware del dispositivo y revisar periódicamente los permisos concedidos son medidas básicas de protección.
En caso de sospechar una infección, lo más seguro es realizar un restablecimiento de fábrica, ya que RatHat puede sobrevivir a una desinstalación normal. Aunque por el momento no se conocen ni la identidad de los objetivos ni el número de dispositivos afectados, la investigación de Zimperium zLabs alerta sobre la evolución de las amenazas móviles hacia un modelo más autónomo y difícil de contener.