In questo articolo Indice dei contenuti 2 sezioni
Un nuovo malware Android chiamato RatHat sta circolando fuori dai canali ufficiali e porta con sé una novità che fa alzare un sopracciglio anche a chi di minacce mobili ne ha viste tante: al suo interno c’è un sottosistema basato sull’intelligenza artificiale che aiuta gli operatori a muoversi dentro i telefoni infetti senza dover restare incollati allo schermo in tempo reale. L’analisi arriva dai ricercatori di Zimperium zLabs, che hanno trovato prompt scritti in cinese all’interno del codice e per questo ipotizzano un collegamento con attori di minaccia basati in Cina.
La distribuzione segue strade già conosciute, niente di particolarmente creativo. Malvertising, messaggi SMS e siti di phishing che spingono a scaricare file APK da fuori Google Play. Una volta installato, RatHat fa quello che fanno praticamente tutte le famiglie di malware bancario per Android: chiede i permessi di Accessibilità e da lì si prende un livello di controllo che nessuna app dovrebbe avere.
Come RatHat si radica nel telefono
Il passaggio più interessante riguarda le Opzioni sviluppatore. Il malware le attiva da solo, insieme al debug wireless, ottenendo così un contesto di esecuzione a livello di shell locale senza bisogno di collegare il dispositivo a un computer. Un meccanismo già visto nelle famiglie ToxicPanda e RedHook, ma che qui viene sfruttato in modo particolarmente aggressivo.
Con l’accesso ADB in mano, RatHat installa un agente scritto in Go, chiamato liblocal service.so, che esegue comandi con privilegi di shell, crea bypass alle restrizioni sulla batteria e gestisce la persistenza. E qui arriva il dettaglio fastidioso: l’agente è in grado di ripristinare il malware se qualcuno lo rimuove o lo blocca, creando un canale di sopravvivenza indipendente. Il favore è reciproco, perché il malware a sua volta reinstalla l’agente se viene cancellato. Un secondo componente, libmediacodec.so, funziona come client reverse proxy FRP e apre un tunnel stabile verso l’infrastruttura degli aggressori.
Sul fronte del furto dati il repertorio è ampio. RatHat mostra overlay HTML sopra app bancarie e di criptovalute per catturare le credenziali, intercetta SMS e notifiche compresi i codici monouso, registra gli eventi di modifica del testo, estrae gli indirizzi dalla barra del browser e cattura PIN, password e sequenze di sblocco della schermata di blocco.
L’intelligenza artificiale che guida i clic
La parte davvero nuova è il motore di automazione dell’interfaccia. RatHat prende l’albero di Accessibilità di Android, quello che descrive in tempo reale cosa c’è sullo schermo, lo trasforma in XML e lo invia a un assistente AI molto diffuso, che nel rapporto non viene nominato. All’assistente vengono chieste tre cose: individuare le coordinate del centro di un determinato elemento dell’interfaccia, capire quale testo compare effettivamente a schermo e restituire istruzioni di navigazione come SCROLLDOWN e simili.
Il risultato è un’automazione molto più flessibile di quella basata su script rigidi, perché il malware si adatta a interfacce che cambiano e permette la navigazione remota senza che gli operatori debbano intervenire manualmente. Secondo Zimperium questo rende le operazioni di RatHat non solo più adattabili, ma anche più difficili da individuare per i software di sicurezza rispetto all’automazione tradizionale.
Anche la disinstallazione diventa un problema. Il malware intercetta la schermata di conferma della rimozione, annulla la procedura e mostra un finto overlay di Google Play con un messaggio di errore inventato. A questo si aggiungono diverse tecniche anti analisi: manomissione del contenitore APK, un file manifest gonfiato fino a 61 MB e pseudo istruzioni DEX non valide, tutte pensate per mandare in confusione o direttamente in crash gli strumenti di analisi.
Le raccomandazioni restano quelle di sempre, e valgono doppio in questo caso. Niente file APK scaricati da fuori Google Play a meno di fidarsi esplicitamente dell’editore, nessun permesso di Accessibilità concesso alle app che non ne hanno un motivo evidente e scansioni periodiche del dispositivo con Play Protect.
Fonte: TecnoAndroid
