Un peligroso malware para Android usa IA para entrar en cuentas bancarias sin que lo notes

Cada día surge una nueva alerta que mezcla inteligencia artificial y ciberseguridad, pero el caso de RatHat resulta especialmente inquietante. Este nuevo troyano para Android usa funciones apoyadas en IA para moverse por el teléfono de la víctima, robar credenciales bancarias y capturar códigos de un solo uso que pueden abrir la puerta a un vaciamiento de cuentas.

RatHat convierte un Android en una puerta abierta

La Inteligencia Artificial sigue transformando la tecnología a una velocidad absurda. Está en los móviles, en los buscadores, en las herramientas de edición, en el trabajo diario y hasta en los videojuegos. El problema aparece cuando esa misma capacidad de automatización cae en manos de grupos que buscan convertir un teléfono ajeno en una especie de asistente personal para el fraude.

RatHat es el último ejemplo de esa realidad. Investigadores de Zimperium han detectado este malware para Android, aparentemente vinculado con actores que operan desde China, que combina técnicas conocidas de troyanos bancarios con una capa mucho más preocupante. La capacidad de apoyarse en inteligencia artificial generativa para interpretar y navegar la interfaz del dispositivo infectado.

La idea no es que el malware “piense” como una persona, aunque ese sea el titular fácil. Lo relevante es que puede recoger información visible en pantalla mediante los servicios de accesibilidad de Android, convertirla en datos estructurados y enviarla a un asistente de IA. A partir de ahí, recibe indicaciones sobre dónde pulsar, qué texto aparece en determinados elementos y cuándo debe desplazarse por una pantalla.

Hasta ahora, muchas amenazas móviles dependían de guiones rígidos. Si el diseño de una aplicación bancaria cambiaba, si aparecía una ventana distinta o si el usuario utilizaba otro modelo de teléfono, el ataque podía fallar. RatHat eleva el nivel porque busca adaptarse al contexto de la pantalla en tiempo real. Es una automatización más flexible y, por lo tanto, potencialmente más difícil de detectar mediante mecanismos basados en comportamientos repetitivos.

El troyano no llega mágicamente al móvil. Según el análisis, su distribución se apoya en campañas de smishing, anuncios maliciosos y páginas de descarga engañosas que invitan a instalar archivos APK fuera de Google Play. Puede esconderse detrás de una app aparentemente legítima, incluso adoptando la identidad visual de servicios conocidos para despertar menos sospechas.

Cómo roba contraseñas y códigos bancarios

El objetivo de RatHat es bastante claro. Acceder a credenciales financieras suficientes para tomar el control de una cuenta bancaria, de pago o de criptomonedas. Para lograrlo, no depende de una única técnica. Su fuerza está en acumular métodos de espionaje y robo hasta que el atacante tiene prácticamente todas las piezas necesarias.

Uno de sus recursos más peligrosos son las superposiciones falsas. Cuando el usuario abre una aplicación bancaria o de pagos que el malware tiene marcada como objetivo, RatHat puede mostrar una pantalla fraudulenta encima de la app real. La víctima cree que está introduciendo sus datos en el formulario habitual, pero en realidad puede estar entregando su usuario, contraseña, PIN o información de pago directamente a los delincuentes.

El siguiente paso es todavía más serio. RatHat puede interceptar mensajes SMS y notificaciones para capturar contraseñas de un solo uso, conocidas como OTP, y códigos de verificación en dos pasos. Eso significa que una contraseña robada deja de ser el único obstáculo. Si el banco envía un código para confirmar el inicio de sesión o una transferencia, el atacante puede tener acceso a ese código en el mismo dispositivo comprometido.

También se han identificado funciones para registrar cambios de texto, recopilar direcciones web desde navegadores y capturar información de la pantalla. El informe técnico describe además un sistema capaz de vigilar coordenadas de pulsaciones sobre la pantalla. En términos sencillos, el malware puede observar dónde toca el usuario y relacionar esos puntos con la distribución de teclados numéricos o patrones de desbloqueo de distintos fabricantes.

Es una técnica especialmente incómoda porque intenta esquivar protecciones que funcionan bien contra capturas de pantalla o lecturas de texto. Si un usuario pulsa el número “5” en un teclado PIN, el programa no necesita ver necesariamente el carácter escrito. Puede inferirlo a partir de la posición del toque y del tipo de pantalla en uso.

El resultado es una cadena de ataque muy completa. Una interfaz falsa roba la contraseña, una lectura de notificaciones obtiene el OTP y el acceso remoto permite seguir operando sobre el dispositivo. Cuando el atacante reúne contraseña, PIN y código temporal, la protección bancaria tradicional puede quedarse peligrosamente corta.

Por qué este troyano es tan difícil de eliminar

RatHat también destaca por su capacidad para mantenerse activo. El troyano abusa de los permisos de accesibilidad, una función legítima de Android diseñada para facilitar el uso del teléfono a personas con necesidades de accesibilidad, y la utiliza para realizar pulsaciones automáticas dentro del sistema.

A partir de esa autorización, puede activar las Opciones de desarrollador y la Depuración inalámbrica. Esto le permite vincularse localmente a Android Debug Bridge, o ADB, una herramienta utilizada normalmente por desarrolladores para ejecutar tareas avanzadas. Con ese acceso, RatHat puede desplegar componentes con privilegios de shell y escapar de varias limitaciones que afectan a una aplicación normal.

Lo más preocupante es que borrar la aplicación visible no siempre garantiza que todo haya terminado. El análisis de Zimperium explica que RatHat puede mantener un servicio separado de la aplicación principal. Si la víctima intenta desinstalarla, el malware puede interferir con el proceso mostrando un falso error de Google Play. Incluso si la eliminación funciona, el componente persistente podría reinstalar la app y devolverle permisos maliciosos.

Para el usuario, la lección es bastante directa. Ninguna app descargada desde un enlace recibido por SMS, un anuncio extraño o una web desconocida debería pedir permisos de accesibilidad, Opciones de desarrollador o Depuración inalámbrica sin una explicación totalmente verificable. Una plataforma de streaming, una linterna, un cupón de descuento o una supuesta actualización de navegador no necesita ese nivel de control.

La mejor prevención sigue siendo menos glamorosa que cualquier avance de IA. Descargar aplicaciones únicamente desde tiendas oficiales, mantener Android actualizado, revisar con cuidado los permisos, dejar activado Google Play Protect y desconfiar de los APK enviados por mensajes inesperados reduce drásticamente el riesgo.

Si existe una sospecha razonable de infección, conviene actuar desde otro dispositivo seguro. Cambiar las contraseñas de correo, banca y servicios de pago, cerrar sesiones activas, contactar al banco y revisar movimientos recientes son pasos prioritarios. En una amenaza con mecanismos de persistencia como RatHat, restablecer el teléfono de fábrica puede ser una decisión más segura que limitarse a desinstalar una aplicación sospechosa.

Sigue leyendo:
• La IA es cada vez más difícil de dominar: ¿podrán los seres humanos mantener el control?
• 6 maneras en que grupos criminales de América Latina usan la inteligencia artificial para delinquir
• Los agentes de IA ya están “hackeando” empresas casi sin proponérselo, y los casos se acumulan