Investigadores de ciberseguridad identificaron RatHat, un troyano bancario para Android que incorpora inteligencia artificial para controlar teléfonos infectados sin intervención constante de sus operadores

El malware puede interpretar visualmente el contenido de la pantalla, decidir qué acciones realizar y adaptarse a cambios en las aplicaciones bancarias. Su distribución ocurre principalmente mediante campañas de smishing y publicidad maliciosa que redirigen a sitios de descarga externos

Un troyano capaz de operar aplicaciones bancarias

RatHat utiliza superposiciones invisibles cuando la víctima abre una aplicación bancaria. Con esta técnica captura credenciales de acceso y contraseñas de un solo uso, información que puede permitir a los atacantes tomar control de las cuentas

También puede grabar la pantalla mediante la API MediaProjection de Android, interceptar mensajes SMS y mostrar una falsa alerta de Google Play Store cuando el usuario intenta desinstalarlo

La inteligencia artificial guía los clics y la navegación

Los troyanos tradicionales suelen depender de coordenadas programadas manualmente para localizar campos y botones. Si una aplicación cambia de diseño, esas instrucciones dejan de funcionar

RatHat evita esa limitación al convertir el árbol de accesibilidad del dispositivo en un archivo XML y enviarlo a un asistente de inteligencia artificial generativa. El sistema analiza la interfaz, identifica textos, calcula la ubicación de los elementos y ordena acciones como pulsaciones o desplazamientos

Esta capacidad permite controlar la interfaz en tiempo real y hace que el malware sea más adaptable que las automatizaciones basadas en guiones fijos

Acceso privilegiado mediante Android Debug Bridge

El troyano abusa de los permisos de Accesibilidad para desbloquear las Opciones de Desarrollador, activar la depuración inalámbrica y obtener el código de emparejamiento de seis dígitos de Android Debug Bridge, conocido como ADB

Una vez completado el autoemparejamiento local, RatHat puede salir del entorno aislado habitual de las aplicaciones y ejecutar procesos independientes con privilegios de nivel shell

Su estructura está formada por tres componentes: una aplicación maliciosa que solicita permisos críticos, un “Go Agent” que se presenta como una biblioteca nativa y ejecuta comandos, y un cliente de proxy inverso FRP que crea un túnel con el servidor de control de los atacantes

Persistencia y técnicas contra el análisis

La desinstalación de la aplicación no garantiza que el dispositivo quede limpio. El acceso shell puede mantenerse para comprobar si el malware continúa presente y reinstalarlo cuando sea necesario

El Go Agent también incluye un registrador de pulsaciones capaz de registrar los toques realizados sobre la pantalla

El paquete de instalación funciona como un dropper y emplea varias técnicas antianálisis: manipulación del contenedor del paquete, una bomba de manifiesto que puede bloquear herramientas automatizadas, alteración del bytecode DEX para dificultar el desensamblado y doble cifrado de cadenas mediante StringCrypto

Datos que puede extraer del teléfono

Desde su servidor de control, los atacantes pueden ordenar la recolección de mensajes SMS, credenciales, archivos, PIN, patrones o contraseñas de bloqueo, capturas de pantalla, pulsaciones de teclado y direcciones web escritas en el navegador

También pueden obtener el listado de aplicaciones instaladas. La conexión con ADB funciona como un canal general hacia el dispositivo, capaz de transportar instrucciones más allá de las funciones específicas del troyano

Hasta el momento no se conoce la identidad de los objetivos de la campaña ni cuántos dispositivos podrían haber sido comprometidos