Une application malveillante dans son smartphone ? En général, la supprimer suffit à régler l’affaire. Mais il faut croire que cela ne marche pas à tous les coups.
Voyez-vous, les chercheurs de Zimperium viennent de dévoiler RatHat. Il s’agit d’un malware Android conçu pour récupérer des informations sensibles. Notamment les identifiants bancaires, les codes PIN et les codes de double authentification.
Sa particularité ? Il ne suit pas uniquement une série d’instructions figées. Grâce à une IA générative, il peut analyser ce qui apparaît à l’écran et adapter ses actions en conséquence.
Sauf que ce nouveau malware Android a un avantage. Il peut continuer à fonctionner même après la désinstallation de l’application infectée.
RatHat : comment ce malware Android procède ?
RatHat se propage principalement par des SMS frauduleux, des publicités piégées ou de faux sites proposant des applications à télécharger. La victime installe alors un fichier APK qui semble légitime. Une fois à bord, le malware cherche à obtenir l’accès aux fonctions d’accessibilité d’Android.
Il exploite ensuite ces autorisations pour activer le débogage sans fil et récupérer les informations nécessaires à une connexion ADB locale. Cette étape lui permet d’obtenir des privilèges beaucoup plus importants que ceux normalement accordés à une application classique.
Mais le plus surprenant reste son utilisation de l’IA. RatHat transmet à un modèle génératif des informations sur l’interface affichée. L’IA peut alors identifier un bouton, retrouver un texte ou déterminer où effectuer un clic.
Le malware peut ainsi modifier son comportement selon l’écran rencontré. Ce qui est pratique pour lui. Quoique beaucoup moins pour la personne qui tient le téléphone.
Cette automatisation sert notamment à afficher de fausses fenêtres par-dessus les applications bancaires ou de paiement. RatHat peut alors récupérer les identifiants saisis et intercepter les SMS ou notifications contenant des codes de validation.
Comment fait-il pour survivre à sa désinstallation ?
Au fait, RatHat installe un composant qui fonctionne indépendamment de l’application principale. Ce qui fait que supprimer l’APK ne garantit pas la disparition de l’infection.
Car si le malware détecte que son application a été retirée, ce composant peut tenter de la réinstaller, puis de réactiver certains services et autorisations. Le téléphone peut donc se retrouver à nouveau compromis après une désinstallation qui semblait pourtant avoir réglé le problème.
Or, si vous voulez tout savoir, le malware va encore plus loin en exploitant les données liées aux mouvements tactiles. Pour faire simple, il ne peut pas directement deviner ce que vous tapez.
En revanche, il peut observer l’endroit où le doigt s’est posé, puis comparer cette position avec la disposition connue du clavier numérique. Un appui correspondant à la zone du « 5 » peut ainsi être interprété comme la saisie de ce chiffre.
RatHat peut alors s’en servir pour tenter de reconstituer un code PIN ou même un schéma de déverrouillage
Si ce n’est de désinstaller l’appli infectée, que faire ?
En cas de suspicion d’infection, il vaut mieux couper la connexion Internet. Et surtout, évitez d’accéder à vos comptes depuis le smartphone concerné.
Il est aussi crucial de modifier vos mots de passe mais depuis un autre appareil. Sans oublier de révoquer les sessions actives. Si des données bancaires ont pu être récupérées, prévenir rapidement sa banque est également recommandé.
Pour éliminer les composants persistants de RatHat, Zimperium indique qu’une réinitialisation complète du smartphone aux paramètres d’usine constitue la solution la plus fiable.
Quoi qu’il en soit, le meilleur conseil est sans doute celui-ci. Méfiez-vous des applis promues n’importe où. Passez toujours par les voies officielles pour en installer une.
- Partager l'article :
