Des chercheurs en cybersécurité ont identifié RatHat, un cheval de Troie bancaire pour Android intégrant un assistant d’intelligence artificielle capable d’exploiter le téléphone infecté de manière autonome. Le système lui permet de reconnaître visuellement ce qui s’affiche à l’écran et de décider lui-même quelles actions exécuter, sans que l’opérateur criminel soit présent en temps réel.
Cette découverte est attribuée à Zimperium zLabs, une entreprise de sécurité mobile, dont les chercheurs Gianluca Braga, Vishnu Pratapagiri et Fernando Ortega ont estimé que le logiciel malveillant serait opéré par des acteurs de la menace basés en Chine. RatHat est principalement distribué via des campagnes de smishing (messages de texte frauduleux) et de publicité malveillante qui orientent les victimes vers des portails de téléchargement de tiers.
Fonctionnement du vol de données bancaires
En son cœur, RatHat opère comme un cheval de Troie bancaire conventionnel : il génère une couche invisible qui se superpose chaque fois que la victime ouvre une application bancaire, capturant ainsi les identifiants d’accès et les mots de passe à usage unique. De cette manière, les attaquants obtiennent un contrôle direct sur les comptes bancaires des utilisateurs affectés.
Le logiciel malveillant utilise également l’API MediaProjection d’Android pour enregistrer l’écran, intercepte les messages SMS et déploie une superposition fausse imitant un message d’erreur de la Google Play Store lorsque la victime tente de le désinstaller.
Le composant d’intelligence artificielle qui le distingue
Ce qui distingue RatHat des autres chevaux de Troie bancaires pour Android est sa capacité à s’appuyer sur l’intelligence artificielle pour naviguer et contrôler le dispositif compromis. Habituellement, les développeurs de ce type de logiciel malveillant doivent programmer manuellement les coordonnées exactes de chaque élément de l’écran, comme l’emplacement du champ de mot de passe ou du bouton de connexion. Si l’application bancaire modifie son design, le logiciel malveillant cesse de fonctionner.
Avec l’intégration d’un assistant IA, ce problème disparaît. Le logiciel malveillant sérialise l’arborescence d’accessibilité du dispositif au format XML et l’envoie à un assistant IA génératif, qui répond avec des instructions sur la marche à suivre. Selon Zimperium, le modèle est utilisé pour résoudre les coordonnées centrales d’un élément à l’écran et diriger des clics synthétiques, identifier le texte réel affiché à l’écran et émettre des commandes de navigation automatique, comme faire défiler vers le bas.
« RatHat utilise l’intelligence artificielle pour naviguer et contrôler de manière intelligente l’interface du dispositif en temps réel, ce qui rend ses opérations plus adaptables et plus difficiles à détecter par les logiciels de sécurité que l’automatisation traditionnelle basée sur des scripts », a indiqué Zimperium.
Une architecture à trois composants avec accès privilégié
RatHat a abusé des permissions d'Accessibilité d'Android pour débloquer les Options de Développeur, activer le débogage sans fil et extraire le code d'appariement à six chiffres du Android Debug Bridge (ADB). Avec ce code, il parvient à l'appariement local avec l'ADB, ce qui lui permet de sortir du bac à sable standard des applications Android et d'exécuter des processus indépendants avec des privilèges de niveau shell.
L'architecture du malware est composée de trois éléments : l'application Android malveillante, qui agit comme voie d'entrée pour obtenir des permissions système critiques ; un « Go Agent » qui se déguise en bibliothèque native du système et exécute des commandes en exploitant l'accès shell ; et un client de proxy inverse FRP, qui établit un tunnel sécurisé avec le serveur de commande et de contrôle des attaquants.
Mécanismes de persistance et techniques pour éviter la détection
Même si la victime parvient à désinstaller l'application, l'attaquant conserve un accès shell au dispositif, ce qui lui permet de vérifier si le malware est toujours installé et de le réinstaller s'il ne le trouve pas. RatHat intègre également un enregistreur de touches au niveau matériel, exécuté par le Go Agent, capable d'enregistrer les appuis sur l'écran tactile.
Le paquet d'installation fonctionne comme un « dropper » qui lance la charge malveillante principale et intègre quatre techniques anti-analyse : manipulation du conteneur du paquet, une « bombe de manifeste » provoquant des plantages ou blocages dans les systèmes automatisés d'analyse, empoisonnement du bytecode DEX pour faire échouer le processus de désassemblage, et un schéma de double chiffrement des chaînes de texte appelé StringCrypto.
Quelles informations le malware peut-il voler ?
Les commandes émises par le serveur de commande et de contrôle permettent aux attaquants de collecter les messages SMS, les identifiants, les fichiers, le PIN, le motif ou le mot de passe de verrouillage d'écran, les captures d'écran, les appuis sur le clavier — y compris les adresses web saisies dans le navigateur — et la liste des applications installées sur le dispositif.
« Cette connexion est utilisée par les attaquants pour accéder au daemon ADB : c'est une voie polyvalente vers le dispositif qui transporte ce que l'opérateur souhaite, indépendamment des fonctions propres du malware », ont expliqué les chercheurs de Zimperium.