La inteligencia artificial ha encontrado un nuevo y siniestro propósito en el mundo del malware móvil.. Zimperium ha descubierto RatHat, un troyano para Android que utiliza modelos generativos de IA para navegar y controlar el dispositivo infectado en tiempo real, adaptándose a cualquier interfaz y evadiendo las defensas tradicionales con una eficacia que hasta ahora solo veíamos en los ataques dirigidos por humanos.
El malware se distribuye a través de smishing y publicidad maliciosa, y su arquitectura modular lo convierte en una de las amenazas más sofisticadas jamás documentadas en la plataforma Android.
Lo que distingue a RatHat de otros troyanos bancarios no es su capacidad de robar credenciales o de mostrar interfaces falsas. Es su inteligencia.
El malware utiliza un asistente de IA generativa para interpretar el contenido de la pantalla, comprender la disposición de los elementos de la interfaz y actuar en consecuencia, como si un operador humano estuviera al otro lado del dispositivo. Es la automatización llevada al extremo, y sugiere que los atacantes están empezando a integrar la IA en sus herramientas de forma sistemática.
La cadena de infección: del smishing al control total
RatHat se instala a través de un dropper que transporta dos activos cifrados y abusa de las APIs nativas de SessionInstaller para saltarse las restricciones de Android. Una vez dentro, su arquitectura se divide en tres componentes que trabajan en perfecta coordinación: una aplicación Android maliciosa, un agente escrito en Go y un cliente FRP (Fast Reverse Proxy).
La aplicación maliciosa es la puerta de entrada. Obtiene permisos críticos del sistema, inicia la cadena de infección y proporciona una interfaz con el usuario.
Incluye una configuración dinámica que permite a los operadores habilitar diferentes alias de actividad, adaptando el comportamiento del malware según las necesidades de cada campaña. Para conseguir los permisos de Accesibilidad (el santo grial de cualquier troyano Android) utiliza un señuelo HTML localizado que engaña al usuario para que los conceda manualmente.
Una vez dentro, despliega un motor de inyección de superposiciones WebView que sirve interfaces falsas de aplicaciones populares, captura la pantalla y la entrada del usuario, intercepta mensajes SMS y solicita derechos de administrador del dispositivo, lo que le permite borrar todo el contenido del teléfono.
La IA como copiloto del atacante
El aspecto más novedoso de RatHat es su uso de inteligencia artificial generativa para la navegación autónoma. Después de serializar el árbol de Accesibilidad del dispositivo a XML, el malware envía esa información a un asistente de IA que lee el contenido y la disposición de la pantalla para decidir automáticamente qué hacer a continuación.
El asistente interpreta la interfaz, identifica botones, campos de texto y elementos interactivos, y guía al malware en la ejecución de acciones concretas.
Los prompts utilizados por el malware sugieren que fue desarrollado por un actor de amenazas chino, según Zimperium. Es un detalle relevante porque indica que el uso de IA en malware no es una tendencia aislada, sino parte de una estrategia deliberada de un actor con recursos y capacidades significativas.
La IA no solo automatiza tareas repetitivas, sino que permite al malware adaptarse a interfaces que nunca ha visto antes, eliminando la necesidad de programar respuestas específicas para cada aplicación o versión de Android.
El agente Go y el túnel inverso: persistencia y control remoto
El segundo componente de RatHat es un agente escrito en Go que se ejecuta después de que el malware obtiene una shell a través del daemon ADB local. Este agente funciona como el cerebro de comando y control del troyano, ejecutando instrucciones y obteniendo persistencia a nivel de sistema y exenciones de gestión de energía que impiden que Android lo mate para ahorrar batería.
El tercer componente es un cliente de proxy inverso, frpc, derivado del proyecto de código abierto fatedier/frp. Este cliente establece un túnel inverso seguro y persistente que da a los atacantes acceso al daemon ADB para la ejecución de comandos. En términos prácticos, es como si los atacantes tuvieran una puerta trasera permanente en el dispositivo, con la capacidad de ejecutar cualquier comando como si estuvieran sentados frente a él.
La captura de credenciales: tres mecanismos de keylogging
RatHat implementa tres mecanismos especializados para capturar lo que el usuario escribe.
El primero monitoriza los eventos de cambio de texto en los servicios de Accesibilidad para reconstruir lo que el usuario teclea en cualquier aplicación.
El segundo lee las barras de direcciones de los navegadores utilizando su ID de recurso, una técnica que permite capturar URL y búsquedas.
Y el tercero es el más sofisticado: el agente Go, aprovechando su ejecución en un entorno shell, utiliza la herramienta estándar de depuración de Android getevent para leer el archivo de dispositivo en crudo que el kernel escribe, extrayendo las coordenadas exactas de los toques del usuario en la pantalla y comparándolas con la disposición del teclado para reconstruir los PIN y las contraseñas.
Este tercer mecanismo es especialmente preocupante porque opera a nivel de hardware, por debajo de la capa de software donde la mayoría de las defensas móviles operan. Ningún teclado virtual, ninguna aplicación de seguridad, ningún sistema de cifrado de entrada puede proteger contra un atacante que lee directamente las señales eléctricas que el hardware táctil envía al kernel.
La resistencia a la desinstalación: el malware que se niega a morir
RatHat puede interceptar y cancelar los intentos de desinstalación. Incluso si el usuario consigue eliminar la aplicación maliciosa, su servicio shell permanece en el dispositivo, comprobando periódicamente si la aplicación sigue ausente y reinstalándola si es necesario. Es una estrategia de persistencia que garantiza que el malware sobreviva a los intentos de limpieza más comunes y que el usuario solo pueda eliminarlo mediante un restablecimiento completo de fábrica o una intervención forense especializada.
Google responde: Play Protect como primera línea de defensa
Un portavoz de Google ha declarado que, según su detección actual, ninguna aplicación que contenga este malware se encuentra en Google Play. Los usuarios de Android están automáticamente protegidos contra las versiones conocidas de RatHat por Google Play Protect, que está activado por defecto en los dispositivos Android con Google Play Services.
Sin embargo, la ausencia del malware en la tienda oficial no significa que los usuarios estén a salvo. RatHat se distribuye a través de smishing y publicidad maliciosa, canales que operan fuera del ecosistema de Google Play y que requieren que el usuario instale manualmente una aplicación desde una fuente desconocida. Es la misma vulnerabilidad humana de siempre: la confianza en un enlace, en un anuncio, en una oferta que parece legítima.
El futuro del malware móvil: IA contra IA
RatHat es un presagio de lo que está por venir. La integración de inteligencia artificial generativa en el malware móvil representa un salto cualitativo en la capacidad de los atacantes para adaptarse, evadir y controlar dispositivos infectados.
Los troyanos ya no necesitan ser programados para cada interfaz específica; pueden aprender a navegar por cualquier pantalla, como lo haría un humano, pero a la velocidad de una máquina.
La respuesta de la industria tendrá que ser igualmente inteligente. Las soluciones de seguridad móvil deberán incorporar sus propios modelos de IA para detectar comportamientos anómalos, para identificar patrones de navegación sospechosos, para anticipar las acciones del malware antes de que se completen.
Es una carrera armamentística en la que ambas partes utilizan las mismas herramientas, y en la que la velocidad de adaptación determinará quién lleva la delantera.
Para los usuarios, la lección es la de siempre, pero ahora con más urgencia: no instalen aplicaciones fuera de Google Play, desconfíen de los enlaces en mensajes y anuncios, revisen los permisos de Accesibilidad de sus dispositivos y mantengan Play Protect activado. La IA puede estar del lado de los atacantes, pero también puede estar del lado de los defensores. La diferencia está en quién la usa primero y con qué propósito.
Descubre más desde CIBERED
Suscríbete y recibe las últimas entradas en tu correo electrónico.
