Investigadores de ciberseguridad detectaron RatHat, un troyano bancario para Android que utiliza inteligencia artificial para controlar dispositivos infectados. El malware puede reconocer lo que aparece en la pantalla y decidir qué acciones ejecutar de manera autónoma, sin que los atacantes tengan que intervenir en tiempo real.
El hallazgo fue realizado por especialistas de Zimperium zLabs, quienes señalaron que el troyano permite capturar credenciales bancarias, contraseñas de un solo uso y otros datos personales. RatHat se distribuye principalmente mediante campañas de smishing, mensajes de texto fraudulentos y publicidad maliciosa que conduce a sitios de descarga de terceros. Según los investigadores, estaría operado por actores de amenaza con base en China.
Cómo funciona RatHat y qué información puede robar
Cuando la víctima abre una aplicación bancaria, RatHat genera una capa invisible sobre la pantalla para capturar las credenciales de acceso y los códigos de un solo uso. Además, puede grabar la pantalla mediante la API MediaProjection de Android e interceptar mensajes SMS.
El malware también puede mostrar una pantalla falsa que imita un error de Google Play Store cuando el usuario intenta desinstalarlo. Entre los datos que puede recolectar aparecen mensajes SMS, credenciales, archivos, el PIN, patrón o contraseña de bloqueo, capturas de pantalla, pulsaciones realizadas en el dispositivo y el listado de aplicaciones instaladas.
La inteligencia artificial cambia la forma de controlar el celular
Una de las características que distingue a RatHat de otros troyanos bancarios es el uso de IA generativa para navegar por la interfaz de Android. Los programas maliciosos tradicionales suelen depender de coordenadas programadas manualmente para encontrar botones o campos específicos. Si una aplicación modifica su diseño, esas instrucciones pueden dejar de funcionar.
RatHat, en cambio, envía a un asistente de IA el árbol de accesibilidad del dispositivo en formato XML. El modelo puede interpretar los elementos de la pantalla, determinar las coordenadas de un botón o campo, identificar textos y generar instrucciones de navegación, como desplazarse hacia abajo. Esto permite adaptar las acciones del malware a los cambios de la interfaz.
El troyano también abusa de los permisos de Accesibilidad para activar las Opciones de Desarrollador, habilitar la depuración inalámbrica y obtener un código de emparejamiento de Android Debug Bridge (ADB). De esta manera, consigue acceso con privilegios de nivel shell.
La arquitectura está formada por una aplicación maliciosa, un componente denominado “Go Agent” y un cliente de proxy inverso FRP para establecer comunicación con el servidor de los atacantes.
Incluso después de desinstalar la aplicación, los atacantes pueden conservar el acceso al dispositivo y comprobar si el malware continúa instalado para reinstalarlo. Por el momento, no se conoce la identidad de las víctimas ni cuántos dispositivos podrían haber sido comprometidos.