El malware RatHat, operado por actores de amenazas con base en China, ha emergido como una sofisticada amenaza para dispositivos Android, utilizando un sistema impulsado por inteligencia artificial (IA) para navegar y controlar los equipos comprometidos. Su distribución se realiza principalmente a través de campañas de smishing (phishing vía SMS/mensajes de texto) y malvertising, que dirigen a los usuarios a portales de descarga de terceros donde se les engaña para instalar APKs maliciosos.
Una vez implementado, RatHat emplea una cadena de infección multifase. Abusa de los servicios de Accesibilidad de Android y utiliza el propio ADB (Android Debug Bridge, una herramienta de desarrollo para comunicarse con dispositivos) para auto-emparejarse localmente. Esto le permite salir del entorno de seguridad de las aplicaciones (sandbox) y desplegar “daemons” (servicios en segundo plano) nativos que se ejecutan con privilegios de nivel de shell, garantizando un control profundo sobre el dispositivo. Además, el malware incorpora capas avanzadas de anti-análisis y anti-depuración, incluyendo la manipulación de contenedores, “bombas” en el manifiesto de la aplicación, envenenamiento del bytecode DEX y doble cifrado de cadenas, para evadir la detección y dificultar su investigación.
La arquitectura de RatHat se compone de una aplicación Android maliciosa, un agente Go y un cliente de proxy inverso FRP. La aplicación Android inicial facilita la obtención de permisos críticos del sistema y la activación de las opciones de desarrollador para la depuración inalámbrica. Lo más preocupante es que, incluso si el usuario logra desinstalar la aplicación, el atacante puede mantener el acceso de shell al dispositivo a través de servicios locales persistentes, lo que le permite reinstalar el malware. El sistema de IA es utilizado para acciones no maliciosas como resolver coordenadas en pantalla para clics sintéticos o señalar comandos de navegación automática, lo que lo hace aún más sigiloso.
Este malware está diseñado para cosechar una amplia gama de información, incluyendo credenciales mediante superposiciones falsas en aplicaciones específicas, grabación de pantalla, intercepción de mensajes SMS y la capacidad de anular intentos de instalación legítimos. El Agente Go, disfrazado de librería nativa, explota el acceso de shell adquirido para ejecutar comandos, asegurando la persistencia y exenciones de gestión de energía. El cliente FRP establece un túnel inverso seguro a un servidor de comando y control (C2), permitiendo a los atacantes acceder a información como el PIN o patrón de la pantalla de bloqueo, capturas de pantalla, pulsaciones de teclas (incluyendo URLs del navegador) y listas de aplicaciones instaladas, incluso con un keylogger a nivel de hardware.
Qué significa para tu empresa: La sofisticación del malware RatHat, su capacidad para evadir controles de seguridad tradicionales y mantener la persistencia incluso después de la desinstalación, subraya la necesidad crítica de una protección de endpoints EDR/XDR avanzada. Esta capacidad permite detectar y responder a comportamientos anómalos y amenazas avanzadas en dispositivos móviles, que van más allá de las firmas tradicionales, ofreciendo visibilidad profunda y capacidades de respuesta que son esenciales para proteger la información y la infraestructura crítica de su organización contra ataques como este.
Fuente original: The Hacker News — ver artículo →