Detectan troyano que usa IA para controlar dispositivos Android y robar cuentas bancarias

Investigadores de ciberseguridad identificaron RatHat, un troyano bancario para Android que incorpora un asistente de inteligencia artificial capaz de operar el teléfono infectado de forma autónoma.

El sistema le permite reconocer visualmente lo que aparece en la pantalla y decidir por sí mismo qué acciones ejecutar, sin necesidad de que el operador criminal esté presente en tiempo real.

El hallazgo corresponde a Zimperium zLabs, empresa de seguridad móvil cuyos investigadores Gianluca Braga, Vishnu Pratapagiri y Fernando Ortega evaluaron que el malware sería operado por actores de amenaza con base en China.

RatHat se distribuye principalmente a través de campañas de smishing (mensajes de texto fraudulentos) y de publicidad maliciosa que dirigen a las víctimas hacia portales de descarga de terceros.

Cómo funciona el robo de credenciales bancarias En su núcleo, RatHat opera como un troyano bancario convencional: genera una capa invisible que se superpone cada vez que la víctima abre una aplicación de su banco , con la que captura las credenciales de acceso y las contraseñas de un solo uso.

De este modo, los atacantes obtienen control directo sobre las cuentas bancarias de los usuarios afectados.

El malware también utiliza la API de MediaProjection de Android para grabar la pantalla, intercepta los mensajes SMS y despliega una superposición falsa que imita un mensaje de error de la Google Play Store cuando la víctima intenta desinstalarlo.

El componente de inteligencia artificial que lo distingue Lo que diferencia a RatHat de otros troyanos bancarios para Android es su capacidad de apoyarse en inteligencia artificial para navegar y controlar el dispositivo comprometido .

Habitualmente, los desarrolladores de este tipo de malware deben programar de manera manual las coordenadas exactas de cada elemento de la pantalla, como la ubicación del campo de contraseña o el botón de inicio de sesión.

Si la aplicación bancaria cambia su diseño, el malware deja de funcionar.

Con la incorporación de un asistente de IA, ese problema desaparece.

El malware serializa el árbol de accesibilidad del dispositivo en formato XML y lo envía a un asistente de IA generativa , que responde con instrucciones sobre cómo proceder.

Según explicó Zimperium, el modelo se emplea para resolver las coordenadas centrales de un elemento en pantalla y dirigir clics sintéticos, identificar el texto real que aparece en la pantalla y emitir comandos de navegación automática, como desplazarse hacia abajo.