RatHat: trojan Android usa IA generativa e overlays falsos para fraudar apps bancários e tomar contas
Pesquisadores da Zimperium detalharam o RatHat, um trojan Android atribuído a operadores baseados na China que combina abuso de Acessibilidade, ativação oculta de depuração via ADB e controle de tela orientado por um assistente de IA generativa. O malware exibe overlays falsos sobre apps bancários e de pagamento, como WeChat e Alipay, captura PINs e intercepta SMS de 2FA, resultando em tomada total de conta. A distribuição ocorre via sites de phishing, malvertising e campanhas de smishing.
A empresa de segurança móvel Zimperium publicou uma análise técnica do RatHat, um trojan bancário para Android que os pesquisadores atribuem, com base em infraestrutura e padrões de código, a operadores baseados na China. A distribuição segue o roteiro clássico de engenharia social: sites de phishing promovidos por malvertising, campanhas de smishing (SMS fraudulentos) e fóruns de terceiros convencem a vítima a instalar um APK malicioso fora da Play Store, geralmente prometendo algum aplicativo ou atualização legítima.
O diferencial do RatHat está na forma como escala privilégios sem pedir permissões suspeitas demais. Assim que a vítima concede acesso ao serviço de Acessibilidade — algo que muitos apps legítimos também pedem, o que reduz a desconfiança — o malware ativa silenciosamente o Modo Desenvolvedor e a Depuração Sem Fio no aparelho, sem qualquer aprovação adicional do usuário. Com isso, ele consegue parear com a própria interface de depuração ADB do telefone, obtendo um nível de controle muito mais profundo do que uma permissão de Acessibilidade normalmente permitiria.
A partir daí, o RatHat incorpora um componente inovador: ele serializa a árvore de Acessibilidade da tela em XML e a envia para um dos assistentes de IA generativa mais populares do mercado, que devolve coordenadas de toque e comandos de navegação. Esse uso de IA como "piloto" do ataque faz com que o malware se adapte a mudanças de interface como um usuário humano faria, dificultando a detecção por regras estáticas. Para roubo de credenciais, o trojan opera em três frentes simultâneas: um keylogger baseado em Acessibilidade que monitora campos de texto, raspagem de URLs digitadas na barra de endereço, e um keylogger de nível mais baixo que lê coordenadas brutas de toque diretamente de /dev/input através do próprio shell ADB pareado.
O impacto financeiro é direto e explícito: o malware sobrepõe overlays falsos a aplicativos reais de banco e pagamento — incluindo WeChat e Alipay — capturando PINs enquanto a vítima acredita estar digitando na interface legítima. Combinado com a interceptação de SMS usados para autenticação de dois fatores, o resultado é a tomada completa da conta financeira da vítima. Para reduzir o risco, usuários devem evitar instalar aplicativos fora de lojas oficiais, desconfiar de qualquer app que peça permissão de Acessibilidade sem justificativa clara de acessibilidade real, e nunca ativar depuração USB ou sem fio a pedido de um aplicativo. Bancos e fintechs, por sua vez, precisam reforçar detecção de overlay e anomalias de pareamento ADB, além de não depender só de PIN e SMS como segundo fator, já que ambos são alvo direto dessa nova geração de trojans.