RatHat usa IA para controlar dispositivos Android

Um novo malware Android, denominado RatHat, utiliza Inteligência Artificial (IA) para ajudar os atacantes a navegar remotamente em dispositivos comprometidos e automatizar ações na interface. A ameaça foi analisada por investigadores da Zimperium zLabs, que identificaram prompts para modelos de linguagem de grande dimensão (LLM) escritos em chinês.

Segundo os investigadores, o RatHat é distribuído através de malvertising, SMS e sites de phishing que promovem o download de ficheiros APK fora da Google Play. Depois de instalado, explora as permissões de acessibilidade do Android para executar ações com privilégios elevados.

O malware ativa as Developer Options e o Wireless Debugging para obter acesso local através de Android Debug Bridge (ADB), sem necessitar de um computador externo. Este acesso permite executar comandos com privilégios elevados, contornar restrições de bateria e criar mecanismos de persistência no dispositivo.

O RatHat utiliza componentes adicionais que permitem recuperar o malware caso este seja removido ou interrompido. O mecanismo funciona também no sentido inverso, permitindo restaurar esses componentes se forem eliminados. A ameaça estabelece ainda uma ligação persistente ao atacante para manter o acesso ao dispositivo comprometido.

Entre as capacidades identificadas está a apresentação de overlays HTML sobre aplicações bancárias e de criptomoedas para recolher credenciais. O RatHat pode ainda intercetar SMS e notificações, incluindo códigos de utilização única, registar alterações de texto, extrair URL dos browsers e capturar PIN, palavras-passe e padrões de desbloqueio.

A utilização de IA permite adaptar a automatização ao conteúdo apresentado no ecrã. Segundo a Zimperium, o RatHat recolhe informação sobre a interface ativa do Android e envia-a para um assistente de IA, não identificado pelos investigadores.

O sistema utiliza o assistente para localizar elementos da interface, identificar o texto apresentado no ecrã e determinar as ações de navegação necessárias. Esta abordagem permite ao RatHat ajustar o controlo remoto às alterações da interface, em vez de depender exclusivamente de scripts predefinidos.

A Zimperium identificou também mecanismos destinados a dificultar a remoção da ameaça. O RatHat consegue intercetar o processo de desinstalação, cancelar a operação e apresentar um falso ecrã da Google Play com uma mensagem de erro.

O malware inclui ainda várias técnicas anti-análise destinadas a dificultar o trabalho das ferramentas de segurança, incluindo alterações à estrutura dos ficheiros utilizados pela aplicação e outros mecanismos para interferir com a análise do código.

A Zimperium recomenda que os utilizadores evitem instalar ficheiros APK provenientes de fontes não verificadas, sejam criteriosos na atribuição de permissões de acessibilidade às aplicações e mantenham ativo o Google Play Protect.