El malware RatHat, un troyano bancario para Android, está siendo utilizado en un modelo de “malware-as-a-service” (Maas) donde los operadores controlan los teléfonos infectados desde una consola web. Esta amenaza se distribuye a través de mensajes de texto y anuncios en línea que dirigen a los usuarios a sitios de descarga de terceros. La novedad es el uso de la inteligencia artificial Gemini de Google para identificar y priorizar víctimas de alto valor, estimando sus saldos bancarios a partir de los mensajes recolectados en el dispositivo. Las empresas con políticas BYOD o que gestionan dispositivos Android corporativos deben estar alerta ante esta sofisticación en los ataques móviles.
Una vez instalado, el malware RatHat solicita acceso a la función de Accesibilidad de Android. Con este permiso, el troyano puede habilitar la depuración inalámbrica y conectarse al Android Debug Bridge (ADB), una herramienta de depuración integrada. Esto le otorga al atacante acceso de shell, que opera con permisos elevados (UID 2000), más allá de los permisos estándar de la aplicación. Para dispositivos Android anteriores a la versión 14, el malware puede emplear un programa en Go para transmitir la pantalla y enviar toques de forma sigilosa, sin que el usuario lo note o necesite dar permiso, evadiendo las herramientas de seguridad que detectan archivos por su hash mediante reconstrucciones programadas de la aplicación.
El alcance del ataque es significativo debido a su sofisticación. La consola de control de RatHat no solo recopila mensajes y contraseñas ingresadas en pantallas de inicio de sesión falsas, sino que también utiliza Gemini para analizar la información financiera del usuario. Además, el programa en Go implementado por el malware puede persistir incluso después de que la aplicación maliciosa sea desinstalada, y es capaz de reinstalar la aplicación y reactivar su acceso a la Accesibilidad. Incluso en la propia etapa de infección, RatHat usa Gemini desde el teléfono para interpretar la interfaz de usuario y ejecutar acciones de configuración, asegurando la activación del sistema de depuración inalámbrica.
Para protegerse de amenazas como RatHat, es fundamental extremar la precaución al descargar aplicaciones, limitándose únicamente a tiendas oficiales y verificando los permisos solicitados, especialmente el acceso a la Accesibilidad. Mantener los dispositivos Android actualizados con los últimos parches de seguridad es crucial. Las empresas deben monitorear activamente los procesos que se ejecutan como el usuario “shell” (UID 2000) y buscar la presencia de archivos como “minicap” y “minitouch” en la ruta /data/local/tmp, que son indicadores de una posible infección.
Qué significa para tu empresa: Este incidente subraya la creciente sofisticación de las amenazas móviles y la necesidad de defensas robustas. Las empresas con políticas BYOD o que utilizan dispositivos Android corporativos están expuestas a riesgos de robo de datos financieros y credenciales. Es imperativo implementar una protección de endpoints EDR/XDR que no solo detecte malware conocido, sino que también identifique comportamientos anómalos en los dispositivos, como la escalada de privilegios o el uso indebido de funciones del sistema, incluso cuando el malware intenta evadir la detección a través de técnicas de persistencia y ofuscación.
Fuente original: The Hacker News — ver artículo →