Un nouveau malware particulièrement difficile à déloger vient d’être repéré sur Android. Baptisé RatHat, il s’appuie sur l’IA pour automatiser une partie de ses actions et peut continuer à agir après la suppression de son application.
Les chercheurs de Zimperium viennent de documenter RatHat, un nouveau malware Android qui pousse très loin l’automatisation de la prise de contrôle. Après avoir détourné les fonctions d’accessibilité et activé ADB, il s’appuie sur une IA générative pour interpréter l’interface, repérer ce qu’il doit toucher et poursuivre ses manipulations sans dépendre d’un scénario entièrement préprogrammé. Une sophistication inhabituelle pour une finalité beaucoup plus familière : voler identifiants bancaires, codes PIN et codes de double authentification.
Une IA pour s’adapter à chaque écran
De manière très classique, RatHat s’incruste sur les smartphones de ses victimes via des APK diffusées par des SMS frauduleux, des publicités malveillantes ou de faux sites de téléchargement. Zimperium ne précise pas encore dans quels pays le malware a été observé ni combien d’appareils ont été infectés. Les chercheurs évoquent toutefois un ciblage financier international et attribuent l’opération à des acteurs qui semblent travailler depuis la Chine.
Une fois installé, il détourne les fonctions d’accessibilité pour activer le débogage sans fil et récupérer le code d’appairage ADB. Il peut alors ouvrir une session shell, modifier des paramètres protégés d’Android et s’octroyer davantage de droits.
Pour piloter l’interface, RatHat sollicite également une IA générative qui l’aide à adapter ses manipulations à ce qui s’affiche. En analysant la structure de l’écran, le modèle peut repérer le bouton à toucher, le menu à ouvrir ou l’élément à faire apparaître après un défilement, puis déterminer l’action à exécuter. Cette lecture en temps réel permet au malware de composer avec les variations de menus, de libellés et de disposition d’une version d’Android ou d’un constructeur à l’autre, là où une automatisation entièrement préprogrammée échouerait plus facilement.
RatHat peut alors superposer de faux formulaires aux applications bancaires et de paiement pour siphonner les identifiants, intercepter SMS et notifications afin de récupérer les codes de double authentification et surveiller les saisies effectuées sur l’appareil.
Le shell lui permet aussi de lire directement les événements tactiles émis par Android. RatHat récupère la position exacte des doigts sur l’écran et la compare à la disposition connue des pavés numériques ou des grilles de verrouillage. Si les coordonnées correspondent à l’emplacement de la touche « 5 », le malware peut en déduire le chiffre saisi. Une succession de points permet de la même manière de reconstituer un schéma de déverrouillage, sans lire directement le contenu affiché.
Un malware capable de survivre à sa désinstallation
RatHat dépose aussi sur le téléphone un agent local qui s’exécute séparément de l’APK. Supprimer l’application ne l’arrête donc pas : s’il constate sa disparition, ce programme peut la réinstaller, réactiver les services d’accessibilité et restaurer ses autorisations sans nouvelle intervention de la victime.
Si vous suspectez une infection, coupez Internet et n’utilisez plus le téléphone pour accéder à vos comptes. Changez les mots de passe depuis un autre appareil, révoquez les sessions ouvertes et contactez votre banque si des identifiants ou codes de paiement ont pu être interceptés.
Il faudra ensuite réinitialiser le smartphone aux paramètres d’usine, seule solution vraiment fiable pour éliminer l’ensemble des composants malveillants présents sur l’appareil.
