Pesquisadores em cibersegurança identificaram um novo malware Android, chamado RatHat, operado por agentes de ameaça baseados na China. Este malware utiliza inteligência artificial para controlar dispositivos comprometidos. O RatHat é disseminado principalmente por meio de campanhas de smishing e malvertising, que levam os usuários a baixar aplicativos infectados de portais enganosos.
O RatHat utiliza uma abordagem de infecção em várias etapas, começando com o abuso de serviços de acessibilidade e emparelhamento automático do ADB (Android Debug Bridge). Isso permite que ele escape do sandbox padrão do Android, executando daemons nativos com privilégios de shell. Mesmo após a desinstalação, o malware pode manter o acesso ao dispositivo, verificando se está instalado e reinstalando-o, se necessário.
Para evitar a detecção, o RatHat incorpora várias técnicas anti-análise, como adulteração de contêineres, que manipula arquivos para serem ignorados por ferramentas de análise, e envenenamento de bytecode DEX, que causa falhas no processo de desmontagem. Além disso, utiliza criptografia dupla de strings para resistir à análise.
A arquitetura do malware inclui um aplicativo Android malicioso, um agente Go e um cliente de proxy reverso FRP. O aplicativo Android obtém permissões críticas do sistema, enquanto o agente Go executa comandos com acesso de shell. O cliente FRP estabelece um túnel reverso seguro para um servidor de comando e controle, permitindo que os atacantes acessem o daemon ADB e executem uma variedade de comandos, como coleta de mensagens SMS e credenciais.
O uso de inteligência artificial pelo RatHat para ações não maliciosas, como coordenar cliques sintéticos e comandos de navegação automática, ilustra a insuficiência dos controles de segurança móvel baseados em assinaturas tradicionais. A arquitetura em camadas do malware e sua capacidade de persistência destacam a necessidade de abordagens de segurança mais robustas.
Fonte:https://thehackernews.com/2026/09/rathat-android-malware-abuses-adb-to.html
