RatHat su Android: ADB wireless aggira la disinstallazione e ti controlla lo smartphone

Il malware Android RatHat sta attirando l’attenzione dei ricercatori di cybersecurity per una caratteristica particolarmente pericolosa: sfrutta ADB (Android Debug Bridge) in modalità wireless per ottenere accesso a livello di shell e mantenere il controllo del dispositivo anche dopo la disinstallazione dell’app.

La distribuzione avviene tramite campagne mirate di smishing con SMS ingannevoli e malvertising che rimandano a portali di download di terze parti. Qui l’utente viene spinto a installare APK infetti che agiscono da dropper, avviando una catena di infezione a più stadi con controlli anti-analisi e anti-debug pensati per eludere i sistemi di rilevamento.

Tecniche di evasione e anti-analisi

RatHat integra tecniche avanzate come la manipolazione dei contenitori ZIP per confondere strumenti di analisi, un manifest bomb che manda in crash pipeline automatiche, avvelenamento del bytecode DEX per impedire la disassemblazione e doppia cifratura delle stringhe per rendere più difficile la reverse engineering. Questa combinazione rende complessa la classificazione del campione e rallenta la risposta degli analisti.

Architettura del malware

L’architettura del malware è composta da tre elementi principali:

• Applicazione Android malevola
• Agente scritto in Go
• Client FRP (reverse proxy)

L’app iniziale ottiene permessi critici, in particolare i servizi di Accessibilità, e li usa per automatizzare azioni sullo schermo come sbloccare le Opzioni sviluppatore, attivare il debug wireless e recuperare il codice di pairing ADB a 6 cifre. In questo modo il malware esce dal sandbox delle app Android e avvia demoni nativi indipendenti con privilegi di shell.

Capacità operative e persistenza

Una volta attivo, RatHat può mostrare overlay su app specifiche per rubare credenziali, intercettare SMS, registrare lo schermo tramite MediaProjection e persino ostacolare la rimozione simulando errori di installazione con una finta schermata di Google Play. La parte più critica è la persistenza: grazie al demone ADB locale e al tunnel FRP verso il server di comando e controllo, gli attaccanti possono mantenere un canale stabile e reinstallare il malware se non lo trovano più sul dispositivo.

Automazione assistita da AI e comandi remoti

RatHat include anche un ciclo decisionale assistito da AI: serializza l’albero di Accessibilità in XML e lo usa per ricavare coordinate e testo sullo schermo, guidando click sintetici e navigazione automatica come scroll. I comandi remoti permettono di raccogliere file, elenco app, screenshot, PIN o pattern di blocco, credenziali e sequenze di tasti, con un keylogger in grado di registrare le pressioni sullo schermo.