Investigadores de ciberseguridad identificaron RatHat, un troyano bancario para Android que incorpora un asistente de inteligencia artificial capaz de operar el teléfono infectado de forma autónoma. El sistema le permite reconocer visualmente lo que aparece en la pantalla y decidir por sí mismo qué acciones ejecutar, sin necesidad de que el operador criminal esté presente en tiempo real.
El hallazgo corresponde a Zimperium zLabs, empresa de seguridad móvil cuyos investigadores Gianluca Braga, Vishnu Pratapagiri y Fernando Ortega evaluaron que el malware sería operado por actores de amenaza con base en China. RatHat se distribuye principalmente a través de campañas de smishing (mensajes de texto fraudulentos) y de publicidad maliciosa que dirigen a las víctimas hacia portales de descarga de terceros.
Cómo funciona el robo de credenciales bancarias
En su núcleo, RatHat opera como un troyano bancario convencional: genera una capa invisible que se superpone cada vez que la víctima abre una aplicación de su banco, con la que captura las credenciales de acceso y las contraseñas de un solo uso. De este modo, los atacantes obtienen control directo sobre las cuentas bancarias de los usuarios afectados.
El malware también utiliza la API de MediaProjection de Android para grabar la pantalla, intercepta los mensajes SMS y despliega una superposición falsa que imita un mensaje de error de la Google Play Store cuando la víctima intenta desinstalarlo.
El componente de inteligencia artificial que lo distingue
Lo que diferencia a RatHat de otros troyanos bancarios para Android es su capacidad de apoyarse en inteligencia artificial para navegar y controlar el dispositivo comprometido. Habitualmente, los desarrolladores de este tipo de malware deben programar de manera manual las coordenadas exactas de cada elemento de la pantalla, como la ubicación del campo de contraseña o el botón de inicio de sesión. Si la aplicación bancaria cambia su diseño, el malware deja de funcionar.
Con la incorporación de un asistente de IA, ese problema desaparece. El malware serializa el árbol de accesibilidad del dispositivo en formato XML y lo envía a un asistente de IA generativa, que responde con instrucciones sobre cómo proceder. Según explicó Zimperium, el modelo se emplea para resolver las coordenadas centrales de un elemento en pantalla y dirigir clics sintéticos, identificar el texto real que aparece en la pantalla y emitir comandos de navegación automática, como desplazarse hacia abajo.
“RatHat usa inteligencia artificial para navegar y controlar de manera inteligente la interfaz del dispositivo en tiempo real, lo que hace que sus operaciones sean más adaptables y difíciles de detectar para el software de seguridad que la automatización tradicional basada en guiones”, señaló Zimperium.
Una arquitectura de tres componentes con acceso privilegiado
RatHat abusa de los permisos de Accesibilidad de Android para desbloquear las Opciones de Desarrollador, habilitar la depuración inalámbrica y extraer el código de emparejamiento de seis dígitos del Android Debug Bridge (ADB). Con ese código logra el autoemparejamiento local con el ADB, lo que le permite salir del sandbox estándar de las aplicaciones de Android y ejecutar procesos independientes con privilegios de nivel shell.
La arquitectura del malware está compuesta por tres piezas: la aplicación Android maliciosa, que actúa como vía de entrada para obtener permisos críticos del sistema; un “Go Agent” que se camufla como una biblioteca nativa del sistema y ejecuta comandos aprovechando el acceso shell; y un cliente de proxy inverso FRP, que establece un túnel seguro con el servidor de comando y control de los atacantes.
Mecanismos de persistencia y técnicas para evitar la detección
Incluso si la víctima logra desinstalar la aplicación, el atacante conserva acceso shell al dispositivo, lo que le permite verificar si el malware sigue instalado y reinstalarlo en caso de no encontrarlo. RatHat también incorpora un registrador de teclas a nivel de hardware, ejecutado por el Go Agent, capaz de registrar las pulsaciones de dedo en pantalla.
El paquete de instalación funciona como un “dropper” que lanza la carga maliciosa principal e incorpora cuatro técnicas antianálisis: manipulación del contenedor del paquete, una “bomba de manifiesto” que provoca fallos o bloqueos en los sistemas automatizados de análisis, envenenamiento del bytecode DEX para hacer fallar el proceso de desensamblado, y un esquema de doble cifrado de cadenas de texto denominado StringCrypto.
Qué información puede robar el malware
Los comandos emitidos por el servidor de comando y control permiten a los atacantes recolectar mensajes SMS, credenciales, archivos, el PIN, patrón o contraseña de bloqueo de pantalla, capturas de pantalla, pulsaciones de teclado —incluidas las direcciones web escritas en el navegador— y el listado de aplicaciones instaladas en el dispositivo.
“Esta conexión es utilizada por los atacantes para tener acceso al daemon de ADB: es un camino de propósito general hacia el dispositivo que transporta lo que el operador desee, independientemente de las funciones propias del malware”, explicaron los investigadores de Zimperium.
Por el momento no hay información disponible sobre la identidad de los objetivos de la campaña ni sobre la cantidad de dispositivos que podrían haber sido comprometidos.
