I ricercatori di Zimperium zLabs hanno analizzato RatHat, un nuovo trojan ad accesso remoto per Android progettato per sottrarre credenziali finanziarie e assumere il controllo dei dispositivi compromessi. Il malware combina tecniche già diffuse nei trojan bancari, come gli overlay contraffatti e l'intercettazione degli SMS, con un sistema di controllo assistito dall'intelligenza artificiale.

Una catena di compromissione a più livelli

RatHat viene distribuito attraverso applicazioni malevole installate al di fuori dei canali ufficiali. Dopo l'avvio, il dropper cerca di ottenere permessi estesi e di attivare componenti aggiuntivi, adottando diverse tecniche per ostacolare l'analisi del pacchetto APK e del codice eseguibile.

Un elemento rilevante è l'abuso del debug wireless di Android. Il malware tenta di associare il dispositivo al servizio ADB locale, ottenendo una shell che può sopravvivere alla rimozione dell'applicazione visibile. Un componente secondario può così contribuire alla reinstallazione del payload e al mantenimento dell'accesso.

Overlay bancari e codici monouso

Il trojan monitora l'applicazione in primo piano e, quando riconosce un servizio bancario o un portafoglio digitale tra quelli presi di mira, sovrappone una pagina HTML contraffatta all'interfaccia legittima. Le informazioni inserite dalla vittima, comprese credenziali e PIN, possono quindi essere trasmesse agli operatori.

RatHat può inoltre leggere messaggi SMS e notifiche, registrare lo schermo e raccogliere altri dati dal dispositivo. Queste funzioni consentono di intercettare codici monouso impiegati nell'autenticazione a due fattori e di fornire agli attaccanti il contesto necessario per completare operazioni fraudolente.

Il ruolo dell'intelligenza artificiale

Secondo l'analisi tecnica, il malware integra un modulo che invia immagini dello schermo a un servizio remoto e riceve indicazioni operative generate con l'ausilio di modelli di intelligenza artificiale. Il sistema può tradurre istruzioni in linguaggio naturale in tocchi, scorrimenti e altre azioni sull'interfaccia del telefono.

Questa capacità non rende RatHat completamente autonomo, ma riduce il lavoro manuale richiesto agli operatori e permette di adattare le azioni a schermate che possono cambiare tra versioni diverse delle applicazioni. Il controllo continua a dipendere dall'infrastruttura remota e dai permessi ottenuti sul dispositivo.

Le misure di protezione

Gli utenti dovrebbero installare applicazioni esclusivamente da fonti affidabili, mantenere disattivato il debug wireless quando non necessario e trattare con cautela qualsiasi richiesta di accesso ai servizi di accessibilità. La comparsa di richieste insolite, applicazioni che scompaiono dall'elenco o autorizzazioni estese per software non riconosciuto richiede una verifica immediata.

Per banche e organizzazioni, l'analisi conferma l'importanza di rilevare overlay, catture dello schermo, abuso di Accessibility e sessioni ADB anomale. La protezione non può basarsi soltanto sulle firme: telemetria comportamentale, controlli di integrità e autenticazione resistente al phishing possono ridurre l'efficacia della catena di frode.