RatHat è un nuovo malware per Android che punta a colpire conti bancari, codici di autenticazione e dati sensibili con tecniche sempre più evolute. La sua particolarità non è solo la capacità di infettare lo smartphone, ma anche l’uso di un sistema di AI generativa per interpretare ciò che appare sullo schermo e scegliere in autonomia quali azioni compiere.
Secondo i ricercatori di Zimperium, una volta ottenuti i permessi necessari, RatHat può leggere l’interfaccia, riconoscere pulsanti e menu e adattare il proprio comportamento in base al dispositivo infetto. In questo modo riesce a superare le differenze tra versioni di Android, produttori e layout delle applicazioni, rendendo l’attacco più flessibile e difficile da bloccare.
RatHat, il malware Android che usa l’AI generativa
La diffusione avviene in modo tradizionale, tramite APK distribuiti con SMS fraudolenti, pubblicità malevole o falsi siti di download. Una volta installato, il malware tenta di abusare delle funzioni di accessibilità per attivare il debug wireless, recuperare il codice di abbinamento ADB e ottenere così un accesso più profondo al sistema. Da lì può aprire una shell, modificare impostazioni protette e attribuirsi ulteriori privilegi.
Il punto più preoccupante è la capacità di adattarsi in tempo reale. RatHat non segue soltanto una sequenza di istruzioni predefinite: analizza la schermata, identifica l’elemento da toccare e decide come procedere anche quando l’interfaccia cambia. Questo gli permette di interagire con app bancarie e di pagamento, aprire menu nascosti, far comparire elementi dopo uno scorrimento e proseguire l’attacco senza interventi manuali da parte degli operatori.
Come RatHat ruba credenziali e codici di sicurezza
Tra le funzioni più pericolose ci sono le sovrapposizioni di falsi moduli sulle applicazioni finanziarie, utili a sottrarre username, password e altri dati di accesso. Il malware può anche intercettare SMS e notifiche, così da recuperare codici OTP e altri fattori di autenticazione usati per confermare transazioni o accessi. In più, monitora gli input digitati sul dispositivo.
RatHat è in grado di leggere direttamente gli eventi tattili generati da Android e confrontare la posizione delle dita con la disposizione del tastierino numerico o della schermata di sblocco. Se le coordinate corrispondono a un determinato tasto, il malware può dedurre la cifra inserita; allo stesso modo può ricostruire una sequenza di sblocco osservando i punti toccati sul display. Non ha quindi bisogno di vedere chiaramente il contenuto, perché gli basta interpretare le tracce lasciate dall’utente.
Perché RatHat è difficile da rimuovere
Un altro aspetto critico è la persistenza. RatHat installa sul telefono un agente locale separato dall’APK principale: cancellare l’app, dunque, potrebbe non bastare. Se rileva la propria assenza, il componente locale può reinstallare il malware, riattivare i servizi di accessibilità e ripristinare le autorizzazioni senza richiedere un nuovo intervento della vittima.
Se si teme un’infezione, il consiglio è scollegare subito il telefono da Internet e smettere di usarlo per accedere ai conti. Bisogna poi cambiare le password da un altro dispositivo, revocare le sessioni attive e contattare la banca se credenziali o codici di pagamento potrebbero essere stati intercettati. Per eliminare in modo affidabile tutti i componenti malevoli, la soluzione più sicura resta il ripristino dello smartphone alle impostazioni di fabbrica.