La inteligencia artificial se está convirtiendo en una herramienta cada vez más presente en las operaciones de los ciberdelincuentes. Investigadores de Zimperium zLabs han identificado RatHat, un nuevo malware para Android que incorpora un sistema de IA capaz de facilitar la navegación por la pantalla de los dispositivos infectados y ejecutar acciones sin que el atacante tenga que intervenir continuamente.
Los especialistas sospechan que detrás de esta amenaza podrían encontrarse actores vinculados a China, después de localizar instrucciones dirigidas a modelos de lenguaje escritas en chino.
Sin embargo, este indicio no permite confirmar por sí solo el origen de los responsables.
RatHat se distribuye mediante campañas de publicidad maliciosa, mensajes SMS y páginas fraudulentas que inducen a descargar archivos APK desde ubicaciones ajenas a Google Play. Una vez instalado, solicita permisos que le permiten acceder a funciones especialmente sensibles del teléfono.
Un malware capaz de robar contraseñas y controlar el teléfono
El funcionamiento de RatHat se apoya principalmente en el abuso de los servicios de accesibilidad de Android, diseñados originalmente para facilitar el uso del dispositivo a personas con determinadas necesidades.
Cuando consigue estos permisos, el programa malicioso puede interactuar con la pantalla de Android y realizar operaciones que normalmente requerirían la intervención del propietario.
Además, activa las opciones de desarrollador y la depuración inalámbrica para obtener acceso mediante Android Debug Bridge (ADB), una herramienta que permite ejecutar comandos con privilegios elevados.
Este mecanismo facilita la instalación de un componente desarrollado en Go, denominado liblocal-service.so, encargado de ejecutar instrucciones, modificar restricciones relacionadas con la batería y mantener activa la infección.
El sistema incorpora una particularidad: el agente puede recuperar el malware si desaparece o deja de funcionar, mientras que la aplicación maliciosa también puede reinstalar el agente cuando este es eliminado.
La amenaza cuenta con un segundo componente, libmedia_codec.so, que establece una conexión persistente con la infraestructura del atacante mediante un túnel de comunicación.
Entre sus capacidades figura la presentación de pantallas falsas sobre aplicaciones bancarias y plataformas de criptomonedas para capturar credenciales.
También puede interceptar mensajes SMS, leer notificaciones, registrar pulsaciones de teclado y obtener códigos de verificación de un solo uso. A estas funciones se suma la posibilidad de capturar contraseñas, PIN y patrones utilizados para desbloquear el teléfono.
La inteligencia artificial permite navegar por el dispositivo
La principal novedad de RatHat reside en su sistema de automatización, que utiliza inteligencia artificial para interpretar los elementos presentes en la pantalla.
En lugar de depender exclusivamente de instrucciones programadas para una interfaz concreta, el malware recopila información de la estructura visual de Android y la transforma en un documento XML.
Posteriormente, envía estos datos a un asistente de inteligencia artificial cuya identidad no ha sido revelada por los investigadores.
El modelo puede identificar elementos de la interfaz, determinar su posición, interpretar textos visibles y devolver instrucciones para desplazarse por los menús.
Esto permite adaptar las operaciones a diferentes aplicaciones y configuraciones sin depender de una secuencia rígida de movimientos.
Zimperium explica que «RatHat utiliza IA para navegar y controlar inteligentemente la interfaz del dispositivo en tiempo real», una capacidad que, según sus investigadores, dificulta su detección frente a los sistemas tradicionales de automatización.
RatHat también intenta impedir su desinstalación
Eliminar la aplicación maliciosa puede resultar complicado porque incorpora mecanismos destinados a bloquear los intentos del usuario.
Cuando detecta que se está iniciando una desinstalación, puede interceptar la pantalla de confirmación, cancelar el procedimiento y mostrar una falsa ventana de Google Play con un mensaje de error.
Los investigadores también han identificado técnicas diseñadas para dificultar el análisis del código, entre ellas un archivo de manifiesto de Android de 61 MB, alteraciones en los paquetes APK e instrucciones DEX inválidas.
Para reducir el riesgo de infección, los especialistas recomiendan evitar instalaciones desde fuentes desconocidas, revisar cuidadosamente los permisos de accesibilidad y utilizar Google Play Protect para analizar periódicamente el dispositivo.
