Malware RatHat usa ADB y IA para mantener acceso tras desinstalación
RatHat, operado por actores chinos, emplea un puente ADB autónomo y un asistente GenAI para persistir y controlar dispositivos Android incluso después de ser eliminado.
RatHat es un malware Android que, según investigadores de Zimperium, es gestionado por actores de amenazas con sede en China. La campaña de propagación se basa en smishing y malvertising que llevan a usuarios a descargar APKs falsos. El paquete actúa como un dropper que lanza el payload principal y contiene varias capas anti‑análisis, como contenedores modificados, un "manifest bomb" que provoca fallos en análisis automatizados, bytecode DEX adulterado y una doble encriptación de strings.
El esquema de ataque se divide en tres componentes: la app maliciosa, un Go Agent y un cliente FRP. La app solicita permisos de accesibilidad, abre las Opciones de Desarrollador, habilita la depuración inalámbrica y extrae el código de emparejamiento ADB de 6 dígitos. Con el acceso al ADB local, RatHat instala un daemon nativo con privilegios de shell. El Go Agent actúa como una librería nativa "liblocal-service.so" y permite ejecutar comandos a través del ADB, otorgando persistencia y la posibilidad de desactivar la gestión de energía.
El cliente FRP crea un túnel inverso seguro con el servidor C2. Desde allí, el atacante puede enviar comandos que recuperan SMS, credenciales, archivos, PIN de bloqueo, capturas de pantalla, pulsaciones de teclado e incluso el listado de apps instaladas. Además, el Go Agent incluye un keylogger a nivel hardware que registra toques en pantalla.
Una característica que diferencia a RatHat es el uso de IA generativa. El malware serializa el árbol de accesibilidad del dispositivo en XML y se comunica con un asistente GenAI popular. La IA se utiliza para resolver coordenadas de pantalla, extraer textos visibles y emitir comandos de navegación automática, como desplazarse hacia abajo. Esta capa de decisión en tiempo real permite al atacante interactuar con la interfaz sin intervención manual.
Para evitar que la desinstalación elimine el acceso, RatHat instala el daemon ADB como un servicio del sistema. Si el usuario elimina la app, el atacante puede detectar la ausencia y reinstalarla automáticamente. El uso de daemons fuera de ciclo de vida y la combinación de técnicas de persistencia y GenAI hacen que los controles móviles tradicionales, basados en firmas, sean insuficientes.
El malware también presenta un overlay que intercepta SMS y reemplaza la pantalla de instalación con una falsa que simula la Play Store. Los atacantes pueden usar esta capa para desviar la atención del usuario.
Para mitigar el riesgo, se recomienda bloquear el acceso a la depuración ADB en dispositivos de producción, monitorizar la aparición de servicios nativos con privilegios de shell y aplicar políticas de acceso a la accesibilidad. Además, las soluciones de seguridad deben incorporar análisis de comportamiento y detección de IA.
