Como se livrar do malware android RatHat

Que tipo de malware é o RatHat?

O RatHat é um Remote Access Trojan (RAT) para Android associado a agentes de ameaças que se acredita estarem a operar na China. De acordo com a investigação publicada pela equipa zLabs da Zimperium, combina automação impulsionada por IA, keylogging ao nível do hardware e proteções sofisticadas contra análise para roubar credenciais bancárias e manter o controlo remoto persistente sobre os dispositivos infetados.

Visão geral do malware RatHat

O RatHat foi descoberto pela equipa zLabs da Zimperium, que o identificou como um sofisticado RAT para Android com ligações a operadores sediados na China. É distribuído principalmente através de campanhas de smishing e malvertising que direcionam as vítimas para portais de descarregamento de terceiros que alojam ficheiros APK maliciosos disfarçados de aplicações legítimas. Um desses sites, kingbss[.]com, promove o malware como uma aplicação rápida e "segura" chamada Nexus One.

Em algumas versões, a aplicação esconde-se por trás do ícone e do nome de um serviço de streaming bem conhecido (o diagrama da investigação mostra iscos do Disney+ e ZEE5), e o operador pode posteriormente alterar o ícone para um rotulado como "Chrome". Uma vez instalado, o RatHat solicita acesso ao Serviço de Acessibilidade do Android.

A aplicação utiliza páginas de isco em HTML localizadas, incluindo alegações de que a permissão é necessária devido a restrições de rede, para persuadir o utilizador a conceder acesso. Em alguns países, o isco também acena com um engodo financeiro. Esta única permissão torna-se o facilitador de praticamente todas as capacidades maliciosas que se seguem.

Com o acesso à Acessibilidade estabelecido, o malware navega silenciosamente pelas definições do dispositivo para desbloquear as Opções de Programador e ativar a Depuração Sem Fios. De seguida, lê o código de emparelhamento gerado e a porta diretamente da interface no ecrã, e utiliza uma biblioteca ADB incorporada para se emparelhar com o próprio daemon do Android Debug Bridge do dispositivo. O resultado é o acesso ao nível da shell do dispositivo, obtido inteiramente sem um computador externo.

A partir dessa shell privilegiada, o RatHat instala dois componentes adicionais. O primeiro é um agente em linguagem Go, disfarçado como uma biblioteca nativa chamada liblocal-service.so, que atua como um executor de comando e controlo capaz de executar comandos privilegiados do sistema. O segundo é um cliente de reverse proxy, disfarçado como libmedia_codec.so, que estabelece um túnel encriptado persistente de volta para o servidor do atacante.

Uma das características mais distintivas do RatHat é a sua utilização de IA generativa para navegação no dispositivo. O malware converte a árvore de Acessibilidade em tempo real do dispositivo para XML e envia-a para o Google Gemini, que responde com coordenadas precisas do ecrã para toques sintéticos e comandos de deslocamento. Esta abordagem adaptativa é mais difícil de reconhecer pelas ferramentas de segurança do que a automatização tradicional baseada em scripts.

Os prompts de IA incorporados no malware estão escritos em chinês, o que constitui um dos indicadores que apontam para operadores sediados na China. Um destes prompts, por exemplo, pede à IA para localizar o botão "Emparelhar dispositivo com código de emparelhamento" no menu de Depuração Sem Fios, para que o malware possa tocar nele sem intervenção humana.

O roubo de credenciais funciona através de três métodos paralelos. O motor de sobreposição injeta ecrãs de início de sessão HTML falsos sobre aplicações bancárias e de pagamento visadas, capturando tudo o que é digitado nelas. Os exemplos apresentados pelos investigadores incluem uma página falsa de início de sessão do Bank of America e um ecrã de PIN bancário em língua russa.

Os utilizadores do WeChat e do Alipay são visados com ecrãs de "verificação de identidade" separados, em língua chinesa, que solicitam o PIN de pagamento de seis dígitos. Estas sobreposições estão incorporadas diretamente no código do malware, em vez de serem descarregadas do servidor do atacante.

Um segundo método utiliza o Serviço de Acessibilidade para reconstruir o texto digitado a partir de eventos no ecrã, incluindo campos de palavra-passe mascarados. O terceiro método lê coordenadas de toque brutas do controlador de entrada do dispositivo através da ferramenta getevent, uma abordagem normalmente restrita a processos ao nível da shell.

O malware faz a correspondência dessas coordenadas de toque com mapas de disposição de teclado armazenados para as principais marcas de telemóveis, reconstruindo PINs, padrões de desbloqueio e palavras-passe. Esta técnica contorna as restrições FLAG_SECURE, teclados personalizados e proteções do ecrã de bloqueio que bloqueariam completamente os outros dois métodos.

O RatHat também interceta mensagens SMS e notificações push para capturar códigos de autenticação de dois fatores. Transmite o ecrã do dispositivo através de dois canais independentes: um que utiliza a API MediaProjection padrão e outro através do agente Go ao nível da shell, que não requer qualquer caixa de diálogo de consentimento do utilizador. Um inventário completo das aplicações instaladas é carregado para o atacante, e os ficheiros podem ser transferidos em qualquer direção.

O agente Go pode silenciosamente desativar ou desinstalar completamente outros pacotes, incluindo software de segurança, utilizando comandos padrão do gestor de pacotes do Android. Também isenta o malware da otimização da bateria e coloca-o no grupo de espera de maior prioridade, garantindo que é executado sem interrupções em segundo plano.

A persistência sobrevive à desinstalação. O agente Go é executado fora do ciclo de vida da aplicação principal, pelo que remover a aplicação não remove o agente. O agente deteta a aplicação em falta e reinstala automaticamente o APK, volta a conceder todas as permissões de tempo de execução e reativa a Acessibilidade sem qualquer interação no ecrã.

A aplicação principal interceta separadamente a caixa de diálogo de confirmação de desinstalação e sobrepõe um erro falso da Google Play para cancelar a remoção antes de esta ser concluída. Truques adicionais de manutenção de atividade, como alarmes agendados, sincronização de conta e um watchdog nativo, reiniciam os seus componentes se forem interrompidos.

As proteções anti-análise abrangem quatro camadas estruturais. O dropper encripta a sua carga útil utilizando transformações XOR e compressão GZIP. O AndroidManifest do APK é inflado para 61MB com blocos de dados não documentados que causam a falha da maioria dos descompiladores. O envenenamento de bytecode DEX faz com que os desmontadores falhem, e um esquema de dupla encriptação de strings oculta todas as strings legíveis em repouso.

Seis verificações anti-depuração em tempo de execução detetam depuradores JDWP, associação ptrace, o framework de instrumentação Frida, módulos Xposed, indicadores de root e artefactos de emulador. A maioria dos ambientes de análise automatizada ou falha no manifest malformado ou é ativamente detetada e evitada em tempo de execução.

Em resumo, a presença de software como o RatHat num dispositivo pode levar a múltiplas infeções do sistema, graves violações de privacidade, perdas financeiras e roubo de identidade. Importa notar que os criadores de malware frequentemente melhoram o seu software e as suas metodologias. Por conseguinte, potenciais iterações futuras do RatHat poderão ter funcionalidades e características adicionais ou diferentes.

Exemplos de Remote Access Trojan

O RatHat destaca-se entre os RATs para Android devido à sua navegação assistida por IA, captura de PIN ao nível do hardware e persistência em várias fases que se reinstala ativamente após a remoção. Estas capacidades tornam-no uma ameaça séria e resiliente para os utilizadores de aplicações bancárias e de pagamento, com potencial para danos financeiros graves e duradouros.

Outros exemplos de Remote Access Trojans direcionados ao Android incluem Night Dragon, Flying Eagle e Glitch SPY. Malware deste tipo é normalmente concebido para dar aos atacantes acesso encoberto e a longo prazo aos dispositivos das vítimas e aos dados sensíveis neles armazenados.

Como é que o RatHat se infiltrou no meu dispositivo?

O RatHat propaga-se principalmente através de mensagens SMS enganadoras contendo ligações para sites de phishing, e através de campanhas de malvertising que redirecionam os utilizadores para portais de descarregamento de terceiros. Estes portais alojam ficheiros APK maliciosos disfarçados de aplicações de streaming populares ou de outro software legítimo. Por exemplo, uma página alojada em kingbss[.]com oferece uma alegada aplicação rápida e estável chamada Nexus One, com um grande botão "Download Now" que entrega o malware.

As vítimas que instalam o APK fora da Google Play Store oficial contornam o processo integrado de revisão de aplicações do Android. O dropper solicita então permissões de Acessibilidade utilizando prompts persuasivos e localizados no ecrã, e toda a cadeia de infeção prossegue silenciosamente em segundo plano assim que essa permissão é concedida.

Como evitar a instalação de malware?

Descarregue aplicações apenas a partir da Google Play Store oficial e verifique os detalhes do editor e as avaliações dos utilizadores antes de instalar qualquer coisa. Tenha cuidado com ligações que cheguem por SMS, especialmente aquelas que o direcionam para descarregar um ficheiro APK de um site desconhecido.

Mantenha o seu sistema operativo Android e todas as aplicações instaladas atualizados regularmente. Execute software de segurança móvel de boa reputação no seu dispositivo e preste muita atenção aos pedidos de permissão. Uma aplicação que solicite acesso ao Serviço de Acessibilidade sem uma razão clara e legítima é um forte sinal de aviso.

Site enganador (kingbss[.]com) a promover o RatHat como a aplicação "Nexus One" (fonte: Zimperium):

Sobreposições falsas do RatHat direcionadas ao Bank of America e a uma aplicação bancária em língua russa (fonte: Zimperium):

Menu rápido:

• Introdução
• Como eliminar o histórico de navegação do navegador Chrome?
• Como desativar as notificações do navegador no navegador Chrome?
• Como repor o navegador Chrome?
• Como eliminar o histórico de navegação do navegador Firefox?
• Como desativar as notificações do navegador no navegador Firefox?
• Como repor o navegador Firefox?
• Como desinstalar aplicações potencialmente indesejadas e/ou maliciosas?
• Como arrancar o dispositivo Android no "Modo de Segurança"?
• Como verificar o consumo de bateria de várias aplicações?
• Como verificar o consumo de dados de várias aplicações?
• Como instalar as atualizações de software mais recentes?
• Como repor o sistema para o seu estado predefinido?
• Como desativar aplicações que têm privilégios de administrador?

Eliminar o histórico de navegação do navegador Chrome:

Toque no botão "Menu" (três pontos no canto superior direito do ecrã) e selecione "Histórico" no menu suspenso aberto.

Toque em "Limpar dados de navegação", selecione o separador "AVANÇADO", escolha o intervalo de tempo e os tipos de dados que pretende eliminar e toque em "Limpar dados".

[Voltar ao menu]

Desativar as notificações do navegador no navegador Chrome:

Toque no botão "Menu" (três pontos no canto superior direito do ecrã) e selecione "Definições" no menu suspenso aberto.

Desloque-se para baixo até ver a opção "Definições de sites" e toque nela. Desloque-se para baixo até ver a opção "Notificações" e toque nela.

Encontre os sites que entregam notificações do navegador, toque neles e clique em "Limpar e repor". Isto removerá as permissões concedidas a esses sites para entregar notificações. No entanto, assim que voltar a visitar o mesmo site, este poderá pedir novamente uma permissão. Pode escolher se concede ou não estas permissões (se optar por recusar, o site irá para a secção "Bloqueados" e deixará de lhe pedir a permissão).

[Voltar ao menu]

Repor o navegador Chrome:

Vá a "Definições", desloque-se para baixo até ver "Aplicações" e toque nele.

Desloque-se para baixo até encontrar a aplicação "Chrome", selecione-a e toque na opção "Armazenamento".

Toque em "GERIR ARMAZENAMENTO", depois em "LIMPAR TODOS OS DADOS" e confirme a ação tocando em "OK". Tenha em atenção que repor o navegador eliminará todos os dados nele armazenados. Isto significa que todos os inícios de sessão/palavras-passe guardados, o histórico de navegação, as definições não predefinidas e outros dados serão eliminados. Também terá de voltar a iniciar sessão em todos os sites.

[Voltar ao menu]

Eliminar o histórico de navegação do navegador Firefox:

Toque no botão "Menu" (três pontos no canto superior direito do ecrã) e selecione "Histórico" no menu suspenso aberto.

Desloque-se para baixo até ver "Limpar dados privados" e toque nele. Selecione os tipos de dados que pretende remover e toque em "LIMPAR DADOS".

[Voltar ao menu]

Desativar as notificações do navegador no navegador Firefox:

Visite o site que está a entregar notificações do navegador, toque no ícone apresentado à esquerda da barra de URL (o ícone não será necessariamente um "Cadeado") e selecione "Editar definições do site".

Na janela pop-up aberta, selecione a opção "Notificações" e toque em "LIMPAR".

[Voltar ao menu]

Repor o navegador Firefox:

Vá a "Definições", desloque-se para baixo até ver "Aplicações" e toque nele.

Desloque-se para baixo até encontrar a aplicação "Firefox", selecione-a e toque na opção "Armazenamento".

Toque em "LIMPAR DADOS" e confirme a ação tocando em "ELIMINAR". Tenha em atenção que repor o navegador eliminará todos os dados nele armazenados. Isto significa que todos os inícios de sessão/palavras-passe guardados, o histórico de navegação, as definições não predefinidas e outros dados serão eliminados. Também terá de voltar a iniciar sessão em todos os sites.

[Voltar ao menu]

Desinstalar aplicações potencialmente indesejadas e/ou maliciosas:

Vá a "Definições", desloque-se para baixo até ver "Aplicações" e toque nele.

Desloque-se para baixo até ver uma aplicação potencialmente indesejada e/ou maliciosa, selecione-a e toque em "Desinstalar". Se, por alguma razão, não conseguir remover a aplicação selecionada (por exemplo, é-lhe apresentada uma mensagem de erro), deve tentar utilizar o "Modo de Segurança".

[Voltar ao menu]

Arrancar o dispositivo Android no "Modo de Segurança":

O "Modo de Segurança" no sistema operativo Android desativa temporariamente a execução de todas as aplicações de terceiros. Utilizar este modo é uma boa forma de diagnosticar e resolver vários problemas (por exemplo, remover aplicações maliciosas que impedem os utilizadores de o fazer quando o dispositivo está a funcionar "normalmente").

Prima o botão "Ligar/Desligar" e mantenha-o premido até ver o ecrã "Desligar". Toque no ícone "Desligar" e mantenha-o premido. Após alguns segundos, a opção "Modo de Segurança" aparecerá e poderá executá-la reiniciando o dispositivo.

[Voltar ao menu]

Verificar o consumo de bateria de várias aplicações:

Vá a "Definições", desloque-se para baixo até ver "Manutenção do dispositivo" e toque nele.

Toque em "Bateria" e verifique o consumo de cada aplicação. As aplicações legítimas/genuínas são concebidas para utilizar a menor energia possível, a fim de proporcionar a melhor experiência ao utilizador e poupar energia. Por conseguinte, um consumo elevado de bateria pode indicar que a aplicação é maliciosa.

[Voltar ao menu]

Verificar o consumo de dados de várias aplicações:

Vá a "Definições", desloque-se para baixo até ver "Ligações" e toque nele.

Desloque-se para baixo até ver "Utilização de dados" e selecione esta opção. Tal como com a bateria, as aplicações legítimas/genuínas são concebidas para minimizar o consumo de dados o mais possível. Isto significa que um consumo enorme de dados pode indicar a presença de uma aplicação maliciosa. Tenha em atenção que algumas aplicações maliciosas podem ser concebidas para operar apenas quando o dispositivo está ligado a uma rede sem fios. Por esta razão, deve verificar o consumo de dados tanto Móveis como Wi-Fi.

Se encontrar uma aplicação que utiliza muitos dados apesar de nunca a utilizar, então recomendamos vivamente que a desinstale o mais rapidamente possível.

[Voltar ao menu]

Instalar as atualizações de software mais recentes:

Manter o software atualizado é uma boa prática no que diz respeito à segurança do dispositivo. Os fabricantes de dispositivos lançam continuamente vários patches de segurança e atualizações do Android para corrigir erros e falhas que podem ser explorados por cibercriminosos. Um sistema desatualizado é muito mais vulnerável, razão pela qual deve certificar-se sempre de que o software do seu dispositivo está atualizado.

Vá a "Definições", desloque-se para baixo até ver "Atualização de software" e toque nele.

Toque em "Descarregar atualizações manualmente" e verifique se existem atualizações disponíveis. Se existirem, instale-as imediatamente. Recomendamos também ativar a opção "Descarregar atualizações automaticamente" - permitirá que o sistema o notifique assim que uma atualização for lançada e/ou a instale automaticamente.

[Voltar ao menu]

Repor o sistema para o seu estado predefinido:

Efetuar uma "Reposição de Fábrica" é uma boa forma de remover todas as aplicações indesejadas, restaurar as definições do sistema para as predefinições e limpar o dispositivo em geral. No entanto, deve ter em mente que todos os dados no dispositivo serão eliminados, incluindo fotografias, ficheiros de vídeo/áudio, números de telefone (armazenados no dispositivo, não no cartão SIM), mensagens SMS, e assim por diante. Por outras palavras, o dispositivo será restaurado ao seu estado inicial.

Também pode restaurar as definições básicas do sistema e/ou simplesmente as definições de rede.

Vá a "Definições", desloque-se para baixo até ver "Acerca do telefone" e toque nele.

Desloque-se para baixo até ver "Repor" e toque nele. Agora escolha a ação que pretende efetuar:
"Repor definições" - restaurar todas as definições do sistema para as predefinições;
"Repor definições de rede" - restaurar todas as definições relacionadas com a rede para as predefinições;
"Reposição de dados de fábrica" - repor todo o sistema e eliminar completamente todos os dados armazenados;

[Voltar ao menu]

Desativar aplicações que têm privilégios de administrador:

Se uma aplicação maliciosa obtiver privilégios ao nível de administrador, pode danificar seriamente o sistema. Para manter o dispositivo o mais seguro possível, deve verificar sempre que aplicações têm tais privilégios e desativar aquelas que não deveriam tê-los.

Vá a "Definições", desloque-se para baixo até ver "Ecrã de bloqueio e segurança" e toque nele.

Desloque-se para baixo até ver "Outras definições de segurança", toque nele e depois toque em "Aplicações de administração do dispositivo".

Identifique as aplicações que não deveriam ter privilégios de administrador, toque nelas e depois toque em "DESATIVAR".

Perguntas Frequentes (FAQ)

O meu dispositivo Android está infetado com o malware RatHat, devo formatar o meu dispositivo de armazenamento para me livrar dele?

A formatação raramente é necessária. Executar uma ferramenta de segurança móvel de boa reputação como o Combo Cleaner deverá detetar e eliminar o RatHat na maioria dos casos. Dito isto, o agente Go do RatHat foi concebido para sobreviver à remoção padrão de aplicações, pelo que uma reposição de fábrica pode ser a opção mais segura se a remoção automatizada não for bem-sucedida.

Quais são os maiores problemas que o malware RatHat pode causar?

O RatHat pode roubar credenciais bancárias e de pagamento através de sobreposições de início de sessão falsas, keylogging baseado em Acessibilidade e captura de PIN ao nível do hardware a partir de coordenadas de toque brutas. Também interceta códigos de autenticação de dois fatores e dá aos atacantes controlo remoto persistente ao nível da shell sobre o dispositivo.

As vítimas podem enfrentar transações financeiras não autorizadas, contas bancárias esvaziadas, roubo de identidade e vigilância contínua de toda a atividade do dispositivo, mesmo depois de a aplicação principal aparentar ter sido removida.

Qual é o objetivo do malware RatHat?

A maioria dos ataques de malware é motivada pelo lucro. O RatHat foi especificamente concebido para recolher credenciais bancárias e de pagamento para fraude financeira. No entanto, as suas capacidades de controlo remoto também poderiam ser utilizadas para espionagem, vigilância ou disrupção, para além do roubo direto.

Como é que o malware RatHat se infiltrou no meu dispositivo Android?

O RatHat é normalmente entregue através de mensagens SMS enganadoras que ligam a sites de phishing, ou através de malvertising que redireciona os utilizadores para portais de descarregamento de terceiros. Estes portais oferecem ficheiros APK disfarçados de aplicações legítimas que os utilizadores instalam manualmente fora da loja de aplicações oficial.

O Combo Cleaner protege-me de malware?

O Combo Cleaner pode detetar e eliminar quase todas as infeções de malware conhecidas. Efetuar uma análise completa do sistema é essencial, uma vez que ameaças sofisticadas como o RatHat utilizam múltiplas camadas anti-análise e executam componentes fora do ciclo de vida padrão das aplicações para se esconderem o mais profundamente possível dentro do dispositivo.