Um novo Trojan para Android, denominado RatHat, foi identificado como uma ameaça significativa que utiliza inteligência artificial para roubar credenciais bancárias e PINs. A análise realizada pela Zimperium revela que o malware emprega um processo de infecção automatizado e em múltiplas etapas, dificultando a detecção por ferramentas de segurança convencionais, como as baseadas em assinaturas e regras, segundo informações do Malwarebytes.
RatHat se destaca por seu uso de um assistente de IA que acessa a árvore de acessibilidade do dispositivo infectado, permitindo que o malware determine onde tocar ou rolar na interface, ao invés de seguir um script fixo. Essa abordagem torna a detecção mais complexa, uma vez que o malware pode adaptar seu comportamento em tempo real. O Trojan também explora o Android Debug Bridge (ADB), uma ferramenta legítima que permite a comunicação entre um computador e um dispositivo Android, para escapar do sandboxing normal dos aplicativos.
A infecção geralmente começa com ataques de smishing (phishing via SMS) e anúncios maliciosos que direcionam os usuários a páginas de download falsas, muitas vezes disfarçadas como aplicativos populares. Após a instalação, o RatHat pressiona o usuário a habilitar o Serviço de Acessibilidade do Android, utilizando desculpas como restrições de rede ou incentivos financeiros falsos. Com acesso a esses serviços, o malware pode interagir com outros aplicativos em nome do usuário, facilitando o roubo de credenciais.
Uma vez instalado, o RatHat cria sobreposições para aplicativos financeiros, permitindo a captura de senhas e códigos de autenticação multifatorial. O malware é capaz de registrar as coordenadas de toque diretamente do driver de entrada, o que possibilita a reconstrução de PINs e padrões de desbloqueio, burlando as proteções contra leitura de tela. Além disso, o Trojan pode interceptar mensagens SMS e restaurar o aplicativo malicioso mesmo após a desinstalação, utilizando um programa oculto em segundo plano.
O malware é estruturado em três componentes principais: um aplicativo Android malicioso, um agente escrito em Go e um cliente de proxy reverso. O agente atua como o cérebro do comando e controle (C&C), executando comandos e garantindo a persistência do malware no sistema. O uso de IA para automatizar ações e interagir com a interface do dispositivo é uma característica inovadora que pode indicar a origem do malware em grupos de ameaças chineses, conforme relatado pelo SecurityWeek.
Para se proteger contra o RatHat, recomenda-se que os usuários instalem apenas aplicativos de fontes confiáveis, como a Google Play Store, e estejam atentos a solicitações de permissões de acessibilidade que não sejam justificadas. A ativação do Modo de Proteção Avançada do Android pode ajudar a restringir quais aplicativos podem solicitar essas permissões. Caso um dispositivo seja infectado, a única solução é realizar uma redefinição de fábrica, pois o mecanismo de persistência do malware pode sobreviver à remoção normal do aplicativo.
As implicações do RatHat são preocupantes, especialmente considerando sua capacidade de se adaptar e evoluir. A combinação de engenharia social e inteligência artificial representa um novo patamar de sofisticação em ameaças móveis, e a expectativa é que novas variantes possam surgir, exigindo uma vigilância constante por parte dos usuários e das empresas de segurança.
Siga a HACKBR e receba as notícias de cibersegurança e tecnologia no seu feed: Instagram @hackbrnews