RatHat Android Malware Abuses ADB to Retain Shell Access After Uninstall

RatHat : Une menace Android persistante pilotée par IA

RatHat est un logiciel malveillant sophistiqué ciblant Android, orchestré par des acteurs chinois. Il se distingue par l’utilisation de l’intelligence artificielle pour naviguer sur l’appareil et maintenir un accès persistant, même après la suppression de l’application initiale.

Points clés :

• Vecteurs d’infection : Diffusion via le smishing (SMS de phishing), la publicité malveillante et des portails de téléchargement tiers.
• Architecture multi-niveaux : Le malware combine une application Android (dropper), un agent écrit en langage Go (masqué en bibliothèque native) et un client FRP (Fast Reverse Proxy) pour établir un tunnel vers un serveur C2.
• Pilotage par IA : RatHat utilise des assistants IA génératifs pour analyser l’arborescence de l’interface (Accessibility tree), localiser les éléments à cliquer et automatiser les actions de navigation.
• Persistance critique : En détournant les fonctionnalités ADB (Android Debug Bridge) pour s’auto-appairer localement, le malware conserve un accès shell au niveau du système, lui permettant de se réinstaller automatiquement s’il est supprimé.
• Capacités d’espionnage : Enregistrement de frappes (keylogger matériel), capture d’écran via MediaProjection, interception de SMS, vol d’identifiants via superposition (overlays) et extraction de données.

Techniques d’anti-analyse : Pour contrer la détection et l’analyse automatisée, le malware utilise plusieurs méthodes :

• Manipulation de conteneurs : Utilisation de flags ZIP non standards pour tromper les outils d’analyse (libziparchive).
• Manifest bomb : Insertion d’en-têtes non documentés (0x9999) pour provoquer le plantage des pipelines d’analyse.
• Poisoning de bytecode DEX : Altération des pseudo-instructions pour faire échouer le désassemblage.
• Double chiffrement : Utilisation de l’algorithme StringCrypto: Base64 pour masquer les chaînes de caractères.

Vulnérabilités exploitées :

• Abus des Services d’Accessibilité : Utilisés pour débloquer les options développeur et activer le débogage sans fil (Wireless Debugging).
• Abus de l’ADB : Exploitation de la légitimité du pont de débogage Android pour obtenir des privilèges shell persistants hors de la sandbox classique.

Recommandations :

• Ne jamais activer le débogage sans fil : Sauf nécessité technique stricte, gardez les options développeur désactivées.
• Vigilance sur les sources : Éviter l’installation d’applications en dehors du Google Play Store.
• Contrôle des permissions : Être extrêmement méfiant envers les applications demandant des autorisations d’accessibilité, surtout si elles ne sont pas nécessaires à leur fonction principale.
• Sécurité des terminaux : Utiliser des solutions de sécurité mobiles capables de détecter les comportements anormaux au-delà de la simple analyse de signatures statiques.

Source