RatHat, novo malware Android com IA, reinstala sozinho mesmo depois de apagado

Pesquisadores de segurança encontraram um novo malware para Android que continua funcionando mesmo depois de o usuário apagar o aplicativo infectado. Batizado de RatHat, ele mantém um serviço escondido no aparelho capaz de restaurar a praga sozinho.

A descoberta é da empresa Zimperham. Segundo a análise, o código é atribuído a atores de ameaça baseados na China e tem como alvo principal credenciais bancárias e códigos de verificação em duas etapas.

Por que o alerta interessa a quem usa banco no celular

O RatHat se espalha por dois caminhos que são bem comuns também no Brasil: mensagens de texto com iscas, técnica conhecida como smishing, e anúncios maliciosos, o chamado malvertising, que levam a portais falsos de download.

Na prática, o risco cresce para quem instala aplicativos fora da loja oficial. Ao clicar em um link recebido por SMS ou em um anúncio duvidoso, a vítima pode baixar um APK que carrega o malware.

Para reduzir a exposição, vale adotar alguns cuidados básicos:

• Não instalar aplicativos vindos de links recebidos por mensagem
• Baixar apps apenas pela loja oficial do sistema
• Revisar quais aplicativos receberam permissão de Acessibilidade, recurso que o RatHat explora para assumir o controle da tela

Como a praga assume o controle

O ponto de entrada é o serviço de Acessibilidade do Android. A partir dele, o RatHat consegue observar e comandar o que acontece no aparelho. Uma peça central é o abuso do ADB, o canal de depuração do sistema, usado num autopareamento local que dá acesso shell persistente ao dispositivo.

Esse acesso é o que explica a sobrevivência da ameaça. Mesmo desinstalado o aplicativo visível, um componente oculto segue ativo e pode reinstalar a praga de forma automática.

A operação é montada em três componentes: o app Android, um agente escrito em Go e um cliente FRP para a comunicação remota.

Roubo de dados e uso de inteligência artificial

Para capturar senhas de banco, o malware exibe telas falsas sobrepostas, os overlays, que imitam interfaces legítimas. Ele também intercepta os códigos OTP enviados na verificação em dois fatores, o que pode neutralizar essa camada de proteção.

Há ainda um keylogger que atua em nível de hardware, registrando os toques feitos na tela do aparelho.

O diferencial apontado pelos pesquisadores é o uso de um assistente de IA generativa popular para orientar, em tempo real, os cliques e a navegação dentro do celular da vítima. Segundo o site The Hacker News, citando a Zimperium, esse recurso permite conduzir ações na tela de forma dinâmica.

Camadas para escapar da análise

O RatHat também foi construído para dificultar o trabalho de quem tenta estudá-lo. São quatro camadas anti-análise somadas a uma camada anti-debug com seis verificações.

Uma das técnicas chama atenção pelo tamanho: o malware gera um arquivo AndroidManifest.xml de 61MB, volume suficiente para travar ferramentas automáticas de inspeção.

O dropper, parte responsável por instalar a carga, recorre a APIs nativas de instalação em sessão para contornar restrições do sistema e ligar os serviços de Acessibilidade. Em uma das versões observadas, o aplicativo se disfarça com o ícone e o nome de um serviço de streaming conhecido, para parecer legítimo aos olhos da vítima.

O que ainda não foi divulgado

Não há número de vítimas informado, nem lista de países atingidos ou volume de campanhas em andamento. Também não foi confirmado que o RatHat tenha chegado a usuários no Brasil ou a aplicativos bancários brasileiros de forma específica.

Ainda assim, os canais de distribuição e o foco em dados financeiros justificam atenção redobrada de quem movimenta dinheiro pelo celular. A recomendação prática segue a mesma: desconfiar de links em mensagens, evitar instalações fora da loja oficial e controlar de perto as permissões concedidas a cada aplicativo.