Pesquisadores de cibersegurança identificaram um novo malware para Android chamado RatHat, avaliado como operado por threat actors baseados na China e equipado com um sistema alimentado por inteligência artificial (IA) para navegar e controlar dispositivos comprometidos.
“Distribuído principalmente por meio de campanhas direcionadas de smishing e malvertising que levam a portais enganosos de download de terceiros, o RatHat usa um pipeline automatizado de infecção em várias etapas”, afirmaram os pesquisadores da Zimperium Gianluca Braga, Vishnu Pratapgiri e Fernando Ortega.
“O malware serializa a árvore de Acessibilidade ativa do dispositivo em XML e se comunica com um dos assistentes de IA generativa mais populares do mundo”, disse a Zimperium. “Essa IA é usada para ações não maliciosas, incluindo resolver as coordenadas centrais de um alvo nomeado na tela em JSON para direcionar cliques sintéticos, recuperar o texto real de um alvo visível na tela a partir do XML e sinalizar comandos automáticos de navegação como SCROLL_DOWN.”
Após a instalação, o RatHat combina abuso de Acessibilidade com emparelhamento automático local via ADB (Android Debug Bridge) para sair da sandbox padrão dos aplicativos Android, iniciando daemons nativos independentes que executam com privilégios de nível shell. O malware é propagado por sites de phishing enganosos promovidos por malvertising, campanhas de smishing e fóruns de terceiros que induzem usuários desavisados a instalar APKs contaminados com malware. Esses pacotes funcionam como um dropper para iniciar o payload principal, ao mesmo tempo em que incorporam camadas de checagens contra análise e depuração para dificultar a detecção.
As quatro técnicas contra análise incorporadas ao malware são as seguintes:
• Contaminação de contêiner, que declara alguns arquivos como diretórios no pacote ou define o sinalizador de criptografia de uso geral ZIP em determinados arquivos, fazendo com que sejam ignorados pela biblioteca libziparchive do Android, mas não por outras ferramentas como unzip e apktool.
• Bomba de manifesto, que faz pipelines automatizados de análise travarem ou excederem o tempo limite ao inserir cabeçalhos de bloco 0x9999 não documentados em “AndroidManifest.xml”, ignorados pelo runtime nativo do Android.
• Envenenamento de bytecode DEX, que inclui pseudo-instruções configuradas com um atributo element_width inválido para fazer o processo de desassemblagem falhar.
• Criptografia dupla de strings, que usa um esquema de criptografia chamado StringCrypto: Base64 para resistir à análise.
A arquitetura do malware para Android é composta por três componentes principais: o aplicativo Android malicioso, um agente em Go e um cliente de proxy reverso FRP. O aplicativo age como um canal para obter permissões críticas do sistema e iniciar a próxima fase do ataque. Com isso, ele consegue permissões de serviços de Acessibilidade e depois as abusa para desbloquear as Opções do desenvolvedor, ativar a Depuração sem fio e extrair o código de emparelhamento ADB de 6 dígitos.
O acesso via ADB permite ao RatHat instalar um agente baseado em Go, identificado como liblocal-service.so, que executa comandos com privilégios do shell do ADB, cria mecanismos para contornar restrições de bateria e gerencia a persistência. Esse agente também restaura o malware caso ele seja removido ou interrompido, criando um canal de persistência independente do próprio malware. O mecanismo funciona nos dois sentidos, e o malware também restaura o agente se ele for apagado.
“O Agente Go obtém a configuração do túnel FRP no servidor C2, permitindo que o Cliente FRP estabeleça um túnel reverso persistente e ativo até o operador”, afirmaram os pesquisadores. “Essa conexão é usada pelos invasores para acessar o daemon ADB: trata-se de uma porta de entrada de uso geral para o dispositivo, que leva o que o operador quiser, independentemente do conjunto de recursos do próprio malware.”
Um segundo agente, libmedia_codec.so, também atua como cliente de um proxy reverso FRP, estabelecendo um túnel persistente até o atacante. Os comandos emitidos pelo servidor C2 são variados e ricos em recursos, permitindo que os threat actors coletem mensagens SMS, credenciais, arquivos, PIN, padrão ou senha da tela de bloqueio, capturas de tela, pressionamentos de teclas, incluindo URLs digitadas nas barras de endereço do navegador, e uma lista de aplicativos instalados. O RatHat também inclui um keylogger em nível de hardware, executado pelo Agente Go, capaz de registrar toques dos dedos na tela.
O malware exibe sobreposições em HTML para aplicações bancárias e de criptomoedas selecionadas, com o objetivo de capturar credenciais de contas. Ele também pode gravar a tela usando a API MediaProjection do Android, interceptar SMS e notificações, incluindo senhas de uso único; registrar eventos de alteração de texto; extrair URLs da barra de endereços dos navegadores; e capturar PINs, senhas e padrões de desbloqueio da tela de bloqueio.
Os pesquisadores alertam que o RatHat também tenta frustrar as remoções ao interceptar a tela de confirmação de desinstalação, cancelar o procedimento e exibir uma falsa sobreposição da Google Play com uma mensagem de erro fraudulenta. Mesmo que a vítima consiga desinstalá-lo, o atacante ainda mantém acesso shell ao dispositivo, podendo verificar se o malware está instalado e reinstalá-lo caso não seja encontrado.
A Zimperium destaca ainda várias técnicas antianálise embutidas no malware, incluindo adulteração do contêiner APK, um arquivo AndroidManifest.xml inchado, com 61 MB, e instruções pseudo-DEX inválidas, tudo com o objetivo de confundir ou quebrar ferramentas de análise.
“A arquitetura em múltiplas camadas do RatHat, a dependência de daemons fora do ciclo de vida e o uso de loops de decisão em tempo real com GenAI mostram por que controles tradicionais de segurança móvel, baseados em assinaturas, são insuficientes”, concluiu a Zimperium.
Usuários de Android nunca devem baixar arquivos APK fora da Google Play, a menos que confiem explicitamente no publicador, devem evitar conceder permissões de Acessibilidade a aplicativos e precisam escanear regularmente seus dispositivos com o Play Protect.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...