Investigadores de ciberseguridad han identificado un troyano bancario para Android que incorpora un asistente de inteligencia artificial capaz de operar el dispositivo infectado de forma autónoma, sin intervención directa de un operador criminal. La amenaza, denominada RatHat, puede reconocer visualmente el contenido de la pantalla, interpretar interfaces de aplicaciones bancarias y ejecutar acciones en tiempo real, lo que representa un salto cualitativo respecto a los troyanos tradicionales.
A diferencia del malware bancario convencional, que requiere que los desarrolladores programen manualmente las coordenadas de cada elemento en pantalla, RatHat utiliza un asistente de IA generativa que recibe el árbol de accesibilidad del dispositivo y responde con instrucciones precisas sobre cómo proceder. Esta capacidad le permite adaptarse a cambios en el diseño de las aplicaciones bancarias sin necesidad de actualizaciones manuales, lo que garantiza su funcionamiento continuo y dificulta su detección por parte del software de seguridad.
Arquitectura técnica y vector de entrada
El malware se distribuye principalmente a través de campañas de smishing —mensajes de texto fraudulentos— y publicidad maliciosa que redirige a las víctimas hacia portales de descarga de aplicaciones no verificadas. Una vez instalado, su arquitectura opera en tres capas: una aplicación maliciosa que solicita permisos críticos del sistema, un componente denominado "Go Agent" que se oculta como biblioteca nativa del sistema operativo, y un mecanismo que abusa de los permisos de accesibilidad de Android.
Este último componente es particularmente crítico: permite desbloquear las Opciones de Desarrollador del dispositivo, habilitar la depuración inalámbrica y extraer el código de emparejamiento del Android Debug Bridge (ADB), otorgando al atacante acceso privilegiado para ejecutar procesos de forma independiente a cualquier interacción del usuario.
Captura de credenciales y persistencia
Una vez activo, RatHat despliega una capa invisible que se superpone sobre las aplicaciones bancarias legítimas, capturando credenciales de acceso y contraseñas de un solo uso (OTP). Adicionalmente, utiliza la API de MediaProjection de Android para grabar la pantalla e interceptar mensajes SMS, mientras muestra una superposición falsa que simula un error de la Google Play Store para obstaculizar su desinstalación.
Los investigadores atribuyen el desarrollo de RatHat a grupos de amenaza con origen en China. La detección de este malware subraya una tendencia estructural en el ecosistema de ciberamenazas: la integración de modelos de lenguaje e IA generativa en herramientas de ataque reduce la barrera técnica para los operadores criminales y eleva significativamente la capacidad de evasión frente a controles de seguridad convencionales. Para las organizaciones con operaciones en entornos móviles, esto implica revisar los modelos de gestión de endpoints y los protocolos de autenticación que dependen exclusivamente de SMS como segundo factor.
