RatHat: novo vírus para Android usa IA para roubar senhas e contas de banco

Pesquisadores de segurança da Zimperium identificaram um novo vírus para celulares Android capaz de roubar senhas de bancos e códigos de verificação em duas etapas. Batizada como “RatHat”, a ameaça tem indícios de operação a partir da China e usa inteligência artificial (IA) generativa para navegar sozinha pelo aparelho da vítima e burlar mecanismos de proteção.

O ataque tem início por meio de mensagens fraudulentas de SMS (smishing) ou anúncios enganosos na internet que levam a sites falsos. Nessas páginas, os criminosos induzem o usuário a baixar manualmente arquivos de aplicativos que aparentam ser legítimos, como serviços conhecidos de streaming ou até navegadores.

Após a instalação, o programa solicita acesso aos Serviços de Acessibilidade do Android. Com essa permissão concedida pela própria vítima sob justificativas falsas, o invasor assume o controle de comandos essenciais do sistema. O vírus aciona um recurso de depuração interna do aparelho para conquistar privilégios administrativos, sem precisar conectar o telefone a um computador.

Navegação autônoma por IA

Os alvos centrais da operação são dados financeiros, segundo o relatório. O invasor projeta telas falsas sobrepostas a aplicativos de bancos, criptomoedas e carteiras digitais populares, como WeChat e Alipay. Quando o usuário tenta entrar na conta ou digitar um código de pagamento, as informações vão direto para os golpistas. Códigos de segurança recebidos por mensagem de texto também são interceptados.

“O malware implanta interfaces falsas sofisticadas, projetadas para imitar aplicativos legítimos de bancos e pagamentos, enganando os usuários para que forneçam suas credenciais de login financeiras enquanto intercepta códigos de autenticação em duas etapas”, pontua a empresa.

Os criminosos também desenvolveram uma estratégia sofisticada para descobrir senhas de desbloqueio. O programa consegue monitorar o toque físico dos dedos sobre o vidro. Ao cruzar o ponto exato do toque com um catálogo de formatos de teclados dos principais fabricantes de celulares, o invasor reconstrói números de PIN, senhas e desenhos de padrões de desbloqueio, mesmo quando o app bancário bloqueia capturas de tela.

A persistência do invasor no dispositivo é outro ponto crítico. Se a vítima desconfiar do aplicativo e tentar desinstalá-lo, o programa simula telas falsas que cancelam a remoção. Caso o usuário consiga apagar o app principal, um serviço paralelo instalado silenciosamente no sistema permanece ativo em segundo plano, reinstala o vírus sem qualquer aviso e devolve todos os acessos aos criminosos.

Evolução dos golpes digitais

Para a equipe da Zimperium, o caso marca uma virada perigosa na evolução dos golpes digitais para dispositivos móveis. A substituição de comandos rígidos e pré-programados por decisões tomadas pela IA em tempo real enfraquece os antivírus convencionais que buscam apenas assinaturas conhecidas de arquivos maliciosos.

Conforme descrito pela empresa de cibersegurança, “a arquitetura em múltiplos níveis do RatHat, a sua dependência de processos que operam fora do ciclo de vida comum dos aplicativos e o uso de loops de decisão em tempo real com IA generativa ilustram por que os controles tradicionais de segurança móvel baseados em assinaturas são insuficientes”, destacou o relatório, publicado na última quarta-feira (16).

Os especialistas alertaram que os usuários de Android devem evitar o download de programas fora da loja oficial Google Play Store. Também é fundamental desconfiar de mensagens SMS que contenham links para atualização de aplicativos e nunca autorizar permissões de acessibilidade para programas desconhecidos.

Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.