RatHat Android Malware Console Uses Gemini to Identify Higher-Value Victims

RatHat : Le cheval de Troie bancaire qui intègre l’IA Gemini

RatHat est un cheval de Troie bancaire Android distribué via un modèle « malware-as-a-service ». Ses opérateurs utilisent une console de contrôle évolutive pour gérer les appareils infectés, automatiser la création de malwares et exfiltrer des données sensibles (SMS, mots de passe).

Points clés :

• Utilisation de l’IA : Le malware utilise Gemini pour deux fonctions distinctes : côté console, pour trier les victimes selon leur valeur financière estimée ; côté appareil, pour automatiser les interactions tactiles sur les interfaces d’applications bancaires inconnues.
• Méthodes d’infection : Propagation via des liens dans des SMS ou des publicités en ligne menant vers des sites tiers.
• Contournement des protections : Le logiciel malveillant génère automatiquement de nouvelles versions de l’application pour éviter la détection par hash.
• Persistance élevée : Une fois le débogage sans fil activé via ADB (Android Debug Bridge), le malware s’octroie des droits shell (UID 2000), lui permettant de réinstaller l’application après suppression et de contourner les protections d’accessibilité natives d’Android.

Vulnérabilités exploitées :

• Abus d’Accessibilité : Utilisation des services d’accessibilité pour intercepter des données et automatiser des clics.
• Abus d’ADB (Android Debug Bridge) : Le malware active et abuse du débogage sans fil pour obtenir un contrôle total (shell) sur le système, dépassant les privilèges habituels d’une application.
• Note sur les versions : Les outils de contrôle d’écran (minicap, minitouch) sont inefficaces sur Android 14 et versions ultérieures, limitant les capacités d’espionnage sur les appareils récents.

Recommandations :

• Surveillance système : Les outils de sécurité doivent surveiller les processus s’exécutant sous l’utilisateur shell (UID 2000) et inspecter le répertoire /data/local/tmp à la recherche de fichiers suspects (minicap, minitouch).
• Vigilance utilisateur : Ne jamais installer d’applications provenant de sources tierces ou de liens reçus par SMS.
• Mise à jour : Maintenir les appareils sous Android 14 ou supérieur pour bénéficier des protections bloquant certains outils d’espionnage utilisés par le malware.
• Réinitialisation : Étant donné que le malware peut survivre à une suppression simple de l’application, une réinitialisation aux paramètres d’usine est recommandée en cas de suspicion d’infection confirmée.

Source