El troyano Android RedHat: la IA aprende a controlar el móvil y a sobrevivir a su eliminación
Investigadores de Zimperium zLabs han descubierto una nueva herramienta maliciosa para Android llamada RedHat. Según su evaluación, podría ser de origen chino y se distribuye a través de tiendas de aplicaciones no oficiales, redes sociales, publicidad maliciosa y campañas masivas de SMS.
Para funcionar, RedHat solicita permisos de Android Accessibility, las funciones de accesibilidad diseñadas principalmente para personas con dificultades visuales o motoras. Al obtener ese acceso, el programa malicioso puede ver los elementos de la interfaz y ejecutar acciones en el dispositivo. Por eso este tipo de permisos resulta especialmente atractivo para los delincuentes.
La función principal de RedHat es la de un troyano bancario. Cuando el usuario abre una aplicación bancaria, el programa malicioso crea una capa invisible sobre ella. A través de esa interfaz superpuesta puede interceptar nombres de usuario, contraseñas y códigos de verificación de un solo uso. Así, los delincuentes pueden hacerse con el acceso a las cuentas bancarias de las víctimas.
Sin embargo, la característica principal de RedHat es su componente de IA integrado. Actúa como los «ojos y las manos» remotos del troyano: el programa malicioso hace una captura de lo que aparece en pantalla y se la envía a un asistente de IA. El modelo analiza la imagen y, a continuación, indica qué acciones debe realizar.
Antes, los creadores de troyanos bancarios tenían que programar de antemano las coordenadas exactas de los botones y los campos: dónde estaba la casilla de la contraseña, dónde había que pulsar para iniciar sesión, etcétera. Si los desarrolladores de la aplicación bancaria cambiaban el diseño, esa automatización solía dejar de funcionar. RedHat intenta sortear el problema: la IA reconoce la pantalla tal como aparece en tiempo real y adapta las instrucciones a la interfaz.
Zimperium afirma que la IA permite a RedHat controlar el dispositivo con más flexibilidad y dificulta su detección por parte del software de seguridad en comparación con la automatización tradicional, basada en guiones predefinidos. En el comunicado original, el nombre del programa malicioso aparece una vez escrito por error como RatHat; los investigadores lo llaman RedHat.
El troyano también dispone de mecanismos para persistir en el sistema. Puede reinstalar componentes eliminados e interceptar un intento de desinstalación. Al usuario se le puede mostrar un mensaje de error falso mientras el programa malicioso cancela la eliminación y sigue funcionando.
Por ahora se desconoce a quién se dirige exactamente RedHat y cuántos dispositivos podrían estar infectados. Los usuarios de Android deberían extremar la precaución con las aplicaciones de tiendas no oficiales, los enlaces recibidos por SMS y las solicitudes de permisos de accesibilidad. En estos casos, instalar un programa de una fuente no verificada puede convertir el móvil en un obediente terminal para robar credenciales bancarias.
PEREC.RU
El nuevo troyano para Android RedHat combina métodos clásicos de malware bancario con IA para controlar la interfaz del móvil. Lo han descubierto especialistas del equipo de investigación Zimperium zLabs, que creen que la herramienta podría ser de origen chino.
RedHat se distribuye por varios canales: tiendas no oficiales de aplicaciones para Android, redes sociales, anuncios maliciosos y campañas masivas de SMS. Para funcionar plenamente, el troyano necesita el permiso Android Accessibility, un conjunto de funciones de accesibilidad que permite a las aplicaciones interactuar con la interfaz del dispositivo y ejecutar acciones en nombre del usuario.
Una vez obtenido ese acceso, RedHat actúa como un troyano bancario. Cuando se abre una aplicación bancaria, crea una capa invisible sobre la interfaz real. A través de ella puede interceptar credenciales: nombres de usuario, contraseñas y códigos de verificación de un solo uso. Esa información permite a los delincuentes hacerse con el control de las cuentas bancarias de las víctimas.
RedHat se distingue de otros troyanos bancarios por incorporar un asistente de IA. El programa malicioso captura lo que aparece en pantalla y se lo envía al modelo. La IA analiza la interfaz e indica al troyano qué acciones debe realizar a continuación.
El malware bancario tradicional sigue guiones predefinidos. Sus creadores especifican las coordenadas exactas de campos y botones: dónde introducir la contraseña, dónde pulsar para iniciar sesión y cómo pasar de una pantalla a otra. Si la aplicación bancaria cambia de diseño o de ubicación de sus elementos, el troyano deja de funcionar. RedHat intenta resolver este problema analizando la pantalla en tiempo real.
Zimperium señala que la IA hace más adaptable el control del dispositivo y puede dificultar que los programas de seguridad detecten la actividad maliciosa, en comparación con la automatización basada en instrucciones fijas. El texto de la fuente también contiene el nombre RatHat, pero la amenaza descubierta se llama RedHat.
Además de robar datos bancarios, el troyano utiliza mecanismos de persistencia. Puede reinstalar componentes eliminados e interferir en el proceso de desinstalación. Al intentar eliminarlo, RedHat puede cancelar la operación y mostrar al usuario un mensaje de error falso. El propietario del dispositivo puede creer que la aplicación se ha eliminado, aunque el programa malicioso siga funcionando.
En el momento de la publicación no había datos sobre grupos concretos de víctimas ni sobre el número total de dispositivos infectados. Se recomienda a los usuarios de Android evitar aplicaciones de fuentes no verificadas, tener cuidado con enlaces y archivos recibidos por SMS y redes sociales, y no conceder el permiso Accessibility a programas que no lo necesiten para la función que dicen ofrecer.
