Cómo deshacerse del malware RatHat para Android

¿Qué tipo de malware es RatHat?

RatHat es un troyano de acceso remoto (RAT) para Android vinculado a actores de amenazas que, según se cree, operan en China. Según una investigación publicada por el equipo zLabs de Zimperium, combina automatización basada en IA, registro de teclas a nivel de hardware y sofisticadas protecciones antianálisis para robar credenciales bancarias y mantener un control remoto persistente sobre los dispositivos infectados.

Descripción general del malware RatHat

RatHat fue descubierto por el equipo zLabs de Zimperium, que lo identificó como un sofisticado RAT para Android con vínculos a operadores con sede en China. Se distribuye principalmente a través de campañas de smishing y publicidad maliciosa que empujan a las víctimas hacia portales de descarga de terceros que alojan archivos APK maliciosos disfrazados de aplicaciones legítimas. Uno de estos sitios, kingbss[.]com, promociona el malware como una aplicación rápida y «segura» llamada Nexus One.

En algunas versiones, la aplicación se oculta tras el icono y el nombre de un conocido servicio de streaming (el diagrama de la investigación muestra los señuelos de Disney+ y ZEE5), y el operador puede cambiar posteriormente el icono por uno etiquetado como «Chrome». Una vez instalado, RatHat solicita acceso al servicio de accesibilidad de Android.

La aplicación utiliza páginas de señuelo HTML localizadas, incluidas afirmaciones de que el permiso es necesario debido a restricciones de red, para persuadir al usuario de que conceda el acceso. En algunos países, el señuelo también ofrece un cebo financiero. Este único permiso se convierte en el facilitador de casi todas las capacidades maliciosas que siguen.

Con el acceso a la accesibilidad implementado, el malware navega silenciosamente por la configuración del dispositivo para desbloquear las opciones de desarrollador y habilitar la depuración inalámbrica. A continuación, lee el código de emparejamiento y el puerto generados directamente desde la interfaz de usuario en pantalla, y utiliza una biblioteca ADB integrada para emparejarse con el propio demonio Android Debug Bridge del dispositivo. El resultado es un acceso a nivel de shell al dispositivo, obtenido por completo sin un ordenador externo.

Desde ese shell privilegiado, RatHat despliega dos componentes adicionales. El primero es un agente en lenguaje Go, disfrazado de una biblioteca nativa llamada liblocal-service.so, que actúa como ejecutor de comando y control capaz de ejecutar comandos privilegiados del sistema. El segundo es un cliente de proxy inverso, disfrazado de libmedia_codec.so, que establece un túnel cifrado persistente de vuelta al servidor del atacante.

Una de las características más distintivas de RatHat es su uso de la IA generativa para la navegación en el dispositivo. El malware convierte el árbol de accesibilidad en vivo del dispositivo en XML y lo envía a Google Gemini, que responde con coordenadas de pantalla precisas para toques sintéticos y comandos de desplazamiento. Este enfoque adaptativo es más difícil de reconocer para las herramientas de seguridad que la automatización tradicional basada en scripts.

Las instrucciones de IA integradas en el malware están escritas en chino, lo cual es uno de los indicadores que apuntan a operadores con sede en China. Una de estas instrucciones, por ejemplo, pide a la IA que localice el botón «Emparejar dispositivo con código de emparejamiento» en el menú de depuración inalámbrica, para que el malware pueda tocarlo sin intervención humana.

El robo de credenciales opera a través de tres métodos paralelos. El motor de superposición inyecta pantallas de inicio de sesión HTML falsas sobre aplicaciones bancarias y de pago específicas, capturando todo lo que se escribe en ellas. Entre los ejemplos mostrados por los investigadores se incluyen una página de inicio de sesión falsa de Bank of America y una pantalla de PIN bancario en ruso.

Los usuarios de WeChat y Alipay son atacados con pantallas de «verificación de identidad» independientes en chino que solicitan el PIN de pago de seis dígitos. Estas superposiciones están integradas directamente en el código del malware en lugar de descargarse desde el servidor del atacante.

Un segundo método utiliza el servicio de accesibilidad para reconstruir el texto escrito a partir de eventos en pantalla, incluidos los campos de contraseña enmascarados. El tercer método lee las coordenadas de toque sin procesar desde el controlador de entrada del dispositivo a través de la herramienta getevent, un enfoque normalmente restringido a los procesos a nivel de shell.

El malware compara esas coordenadas de toque con mapas de diseño de teclado almacenados para las principales marcas de teléfonos, reconstruyendo PIN, patrones de desbloqueo y contraseñas. Esta técnica elude las restricciones FLAG_SECURE, los teclados personalizados y las protecciones de la pantalla de bloqueo que bloquearían por completo los otros dos métodos.

RatHat también intercepta los mensajes SMS y las notificaciones push para capturar códigos de autenticación de dos factores. Transmite la pantalla del dispositivo a través de dos canales independientes: uno que utiliza la API estándar MediaProjection y otro a través del agente Go a nivel de shell que no requiere un cuadro de diálogo de consentimiento del usuario. Se sube al atacante un inventario completo de las aplicaciones instaladas, y los archivos se pueden transferir en cualquier dirección.

El agente Go puede desactivar silenciosamente o desinstalar por completo otros paquetes, incluido el software de seguridad, utilizando los comandos estándar del gestor de paquetes de Android. También exime al malware de la optimización de la batería y lo coloca en el bucket de espera de máxima prioridad, garantizando que se ejecute sin interrupción en segundo plano.

La persistencia sobrevive a la desinstalación. El agente Go se ejecuta fuera del ciclo de vida de la aplicación principal, por lo que eliminar la aplicación no elimina el agente. El agente detecta la aplicación ausente y reinstala automáticamente el APK, vuelve a conceder todos los permisos de tiempo de ejecución y vuelve a habilitar la accesibilidad sin ninguna interacción en pantalla.

La aplicación principal intercepta por separado el cuadro de diálogo de confirmación de desinstalación y superpone un error falso de Google Play para cancelar la eliminación antes de que se complete. Trucos adicionales de mantenimiento activo, como alarmas programadas, sincronización de cuentas y un watchdog nativo, reinician sus componentes si se detienen.

Las protecciones antianálisis abarcan cuatro capas estructurales. El dropper cifra su carga útil utilizando transformaciones XOR y compresión GZIP. El AndroidManifest del APK se infla hasta los 61MB con fragmentos de datos no documentados que bloquean la mayoría de los descompiladores. El envenenamiento del bytecode DEX provoca el fallo de los desensambladores, y un esquema de doble cifrado de cadenas oculta todas las cadenas legibles en reposo.

Seis comprobaciones antidepuración en tiempo de ejecución detectan depuradores JDWP, la vinculación de ptrace, el framework de instrumentación Frida, los módulos Xposed, los indicadores de root y los artefactos de emulador. La mayoría de los entornos de análisis automatizado o bien fallan con el manifiesto malformado o son detectados y evitados activamente en tiempo de ejecución.

En resumen, la presencia de software como RatHat en un dispositivo puede provocar múltiples infecciones del sistema, graves violaciones de la privacidad, pérdidas económicas y robo de identidad. Cabe señalar que los desarrolladores de malware suelen mejorar su software y sus metodologías. Por lo tanto, las posibles iteraciones futuras de RatHat podrían tener funcionalidades y características adicionales o diferentes.

Ejemplos de troyanos de acceso remoto

RatHat destaca entre los RAT de Android por su navegación asistida por IA, la captura de PIN a nivel de hardware y la persistencia multietapa que se reinstala activamente tras su eliminación. Estas capacidades lo convierten en una amenaza grave y resistente para los usuarios de aplicaciones bancarias y de pago, con potencial para causar daños financieros severos y duraderos.

Otros ejemplos de troyanos de acceso remoto dirigidos a Android incluyen Night Dragon, Flying Eagle y Glitch SPY. El malware de este tipo suele estar diseñado para proporcionar a los atacantes un acceso encubierto y a largo plazo a los dispositivos de las víctimas y a los datos sensibles almacenados en ellos.

¿Cómo se infiltró RatHat en mi dispositivo?

RatHat se propaga principalmente a través de mensajes SMS engañosos que contienen enlaces a sitios de phishing, y a través de campañas de publicidad maliciosa que redirigen a los usuarios a portales de descarga de terceros. Estos portales alojan archivos APK maliciosos disfrazados de aplicaciones de streaming populares u otro software legítimo. Por ejemplo, una página alojada en kingbss[.]com ofrece una aplicación supuestamente rápida y estable llamada Nexus One, con un gran botón «Download Now» que entrega el malware.

Las víctimas que instalan el APK de forma externa (sideload) fuera de la Google Play Store oficial eluden el proceso de revisión de aplicaciones integrado en Android. El dropper solicita entonces permisos de accesibilidad utilizando mensajes en pantalla persuasivos y localizados, y toda la cadena de infección procede silenciosamente en segundo plano una vez que se concede ese permiso.

¿Cómo evitar la instalación de malware?

Descargue aplicaciones únicamente desde la Google Play Store oficial y verifique los detalles del editor y las reseñas de los usuarios antes de instalar nada. Tenga cuidado con los enlaces que llegan por SMS, especialmente los que le dirigen a descargar un archivo APK desde un sitio web desconocido.

Mantenga su sistema operativo Android y todas las aplicaciones instaladas actualizadas regularmente. Ejecute software de seguridad móvil de confianza en su dispositivo y preste mucha atención a las solicitudes de permisos. Una aplicación que solicita acceso al servicio de accesibilidad sin una razón clara y legítima es una fuerte señal de advertencia.

Sitio web engañoso (kingbss[.]com) que promociona RatHat como la aplicación «Nexus One» (fuente: Zimperium):

Superposiciones falsas de RatHat dirigidas a Bank of America y a una aplicación bancaria en ruso (fuente: Zimperium):

Menú rápido:

• Introducción
• ¿Cómo eliminar el historial de navegación del navegador web Chrome?
• ¿Cómo desactivar las notificaciones del navegador en el navegador web Chrome?
• ¿Cómo restablecer el navegador web Chrome?
• ¿Cómo eliminar el historial de navegación del navegador web Firefox?
• ¿Cómo desactivar las notificaciones del navegador en el navegador web Firefox?
• ¿Cómo restablecer el navegador web Firefox?
• ¿Cómo desinstalar aplicaciones potencialmente no deseadas o maliciosas?
• ¿Cómo iniciar el dispositivo Android en «Modo seguro»?
• ¿Cómo comprobar el uso de la batería de varias aplicaciones?
• ¿Cómo comprobar el uso de datos de varias aplicaciones?
• ¿Cómo instalar las últimas actualizaciones de software?
• ¿Cómo restablecer el sistema a su estado predeterminado?
• ¿Cómo desactivar las aplicaciones que tienen privilegios de administrador?

Eliminar el historial de navegación del navegador web Chrome:

Toque el botón «Menú» (tres puntos en la esquina superior derecha de la pantalla) y seleccione «Historial» en el menú desplegable que se abre.

Toque «Borrar datos de navegación», seleccione la pestaña «AVANZADO», elija el intervalo de tiempo y los tipos de datos que desea eliminar y toque «Borrar datos».

[Volver al índice]

Desactivar las notificaciones del navegador en el navegador web Chrome:

Toque el botón «Menú» (tres puntos en la esquina superior derecha de la pantalla) y seleccione «Configuración» en el menú desplegable que se abre.

Desplácese hacia abajo hasta que vea la opción «Configuración de sitios web» y tóquela. Desplácese hacia abajo hasta que vea la opción «Notificaciones» y tóquela.

Busque los sitios web que envían notificaciones del navegador, tóquelos y haga clic en «Borrar y restablecer». Esto eliminará los permisos concedidos a estos sitios web para enviar notificaciones. Sin embargo, una vez que vuelva a visitar el mismo sitio, es posible que le vuelva a pedir permiso. Puede elegir si conceder estos permisos o no (si elige rechazarlos, el sitio web pasará a la sección «Bloqueados» y ya no le pedirá el permiso).

[Volver al índice]

Restablecer el navegador web Chrome:

Vaya a «Configuración», desplácese hacia abajo hasta que vea «Aplicaciones» y tóquelo.

Desplácese hacia abajo hasta que encuentre la aplicación «Chrome», selecciónela y toque la opción «Almacenamiento».

Toque «GESTIONAR ALMACENAMIENTO», luego «BORRAR TODOS LOS DATOS» y confirme la acción tocando «ACEPTAR». Tenga en cuenta que restablecer el navegador eliminará todos los datos almacenados en su interior. Esto significa que todos los inicios de sesión/contraseñas guardados, el historial de navegación, la configuración no predeterminada y otros datos se eliminarán. También tendrá que volver a iniciar sesión en todos los sitios web.

[Volver al índice]

Eliminar el historial de navegación del navegador web Firefox:

Toque el botón «Menú» (tres puntos en la esquina superior derecha de la pantalla) y seleccione «Historial» en el menú desplegable que se abre.

Desplácese hacia abajo hasta que vea «Limpiar datos privados» y tóquelo. Seleccione los tipos de datos que desea eliminar y toque «BORRAR DATOS».

[Volver al índice]

Desactivar las notificaciones del navegador en el navegador web Firefox:

Visite el sitio web que envía las notificaciones del navegador, toque el icono que se muestra a la izquierda de la barra de URL (el icono no será necesariamente un «candado») y seleccione «Editar configuración del sitio».

En la ventana emergente que se abre, marque la opción «Notificaciones» y toque «BORRAR».

[Volver al índice]

Restablecer el navegador web Firefox:

Vaya a «Configuración», desplácese hacia abajo hasta que vea «Aplicaciones» y tóquelo.

Desplácese hacia abajo hasta que encuentre la aplicación «Firefox», selecciónela y toque la opción «Almacenamiento».

Toque «BORRAR DATOS» y confirme la acción tocando «ELIMINAR». Tenga en cuenta que restablecer el navegador eliminará todos los datos almacenados en su interior. Esto significa que todos los inicios de sesión/contraseñas guardados, el historial de navegación, la configuración no predeterminada y otros datos se eliminarán. También tendrá que volver a iniciar sesión en todos los sitios web.

[Volver al índice]

Desinstalar aplicaciones potencialmente no deseadas o maliciosas:

Vaya a «Configuración», desplácese hacia abajo hasta que vea «Aplicaciones» y tóquelo.

Desplácese hacia abajo hasta que vea una aplicación potencialmente no deseada o maliciosa, selecciónela y toque «Desinstalar». Si, por alguna razón, no puede eliminar la aplicación seleccionada (por ejemplo, aparece un mensaje de error), debería intentar utilizar el «Modo seguro».

[Volver al índice]

Iniciar el dispositivo Android en «Modo seguro»:

El «Modo seguro» del sistema operativo Android desactiva temporalmente la ejecución de todas las aplicaciones de terceros. Usar este modo es una buena forma de diagnosticar y resolver diversos problemas (por ejemplo, eliminar aplicaciones maliciosas que impiden a los usuarios hacerlo cuando el dispositivo funciona «normalmente»).

Pulse el botón «Encendido» y manténgalo pulsado hasta que vea la pantalla «Apagar». Toque el icono «Apagar» y manténgalo pulsado. Después de unos segundos, aparecerá la opción «Modo seguro» y podrá ejecutarlo reiniciando el dispositivo.

[Volver al índice]

Comprobar el uso de la batería de varias aplicaciones:

Vaya a «Configuración», desplácese hacia abajo hasta que vea «Mantenimiento del dispositivo» y tóquelo.

Toque «Batería» y compruebe el uso de cada aplicación. Las aplicaciones legítimas/genuinas están diseñadas para usar la menor energía posible con el fin de ofrecer la mejor experiencia al usuario y ahorrar energía. Por lo tanto, un uso elevado de la batería puede indicar que la aplicación es maliciosa.

[Volver al índice]

Comprobar el uso de datos de varias aplicaciones:

Vaya a «Configuración», desplácese hacia abajo hasta que vea «Conexiones» y tóquelo.

Desplácese hacia abajo hasta que vea «Uso de datos» y seleccione esta opción. Al igual que con la batería, las aplicaciones legítimas/genuinas están diseñadas para minimizar el uso de datos tanto como sea posible. Esto significa que un uso enorme de datos puede indicar la presencia de una aplicación maliciosa. Tenga en cuenta que algunas aplicaciones maliciosas podrían estar diseñadas para operar solo cuando el dispositivo está conectado a una red inalámbrica. Por esta razón, debería comprobar el uso de datos tanto móviles como de Wi-Fi.

Si encuentra una aplicación que utiliza muchos datos aunque nunca la use, le recomendamos encarecidamente que la desinstale lo antes posible.

[Volver al índice]

Instalar las últimas actualizaciones de software:

Mantener el software actualizado es una buena práctica en lo que respecta a la seguridad del dispositivo. Los fabricantes de dispositivos publican continuamente diversos parches de seguridad y actualizaciones de Android con el fin de corregir errores y fallos que pueden ser aprovechados por los ciberdelincuentes. Un sistema desactualizado es mucho más vulnerable, por lo que siempre debe asegurarse de que el software de su dispositivo esté actualizado.

Vaya a «Configuración», desplácese hacia abajo hasta que vea «Actualización de software» y tóquelo.

Toque «Descargar actualizaciones manualmente» y compruebe si hay actualizaciones disponibles. Si las hay, instálelas de inmediato. También recomendamos habilitar la opción «Descargar actualizaciones automáticamente»: permitirá que el sistema le notifique cuando se publique una actualización o la instale automáticamente.

[Volver al índice]

Restablecer el sistema a su estado predeterminado:

Realizar un «Restablecimiento de fábrica» es una buena forma de eliminar todas las aplicaciones no deseadas, restaurar la configuración del sistema a los valores predeterminados y limpiar el dispositivo en general. Sin embargo, debe tener en cuenta que se eliminarán todos los datos del dispositivo, incluidas fotos, archivos de vídeo/audio, números de teléfono (almacenados en el dispositivo, no en la tarjeta SIM), mensajes SMS, etc. En otras palabras, el dispositivo se restaurará a su estado original.

También puede restaurar la configuración básica del sistema o simplemente la configuración de red.

Vaya a «Configuración», desplácese hacia abajo hasta que vea «Acerca del teléfono» y tóquelo.

Desplácese hacia abajo hasta que vea «Restablecer» y tóquelo. Ahora elija la acción que desea realizar:
«Restablecer configuración»: restaura toda la configuración del sistema a los valores predeterminados;
«Restablecer configuración de red»: restaura toda la configuración relacionada con la red a los valores predeterminados;
«Restablecimiento de datos de fábrica»: restablece todo el sistema y elimina por completo todos los datos almacenados;

[Volver al índice]

Desactivar las aplicaciones que tienen privilegios de administrador:

Si una aplicación maliciosa obtiene privilegios de nivel de administrador, puede dañar gravemente el sistema. Para mantener el dispositivo lo más seguro posible, debería comprobar siempre qué aplicaciones tienen dichos privilegios y desactivar las que no deberían tenerlos.

Vaya a «Configuración», desplácese hacia abajo hasta que vea «Pantalla de bloqueo y seguridad» y tóquelo.

Desplácese hacia abajo hasta que vea «Otros ajustes de seguridad», tóquelo y luego toque «Aplicaciones de administración del dispositivo».

Identifique las aplicaciones que no deberían tener privilegios de administrador, tóquelas y luego toque «DESACTIVAR».

Preguntas frecuentes (FAQ)

Mi dispositivo Android está infectado con el malware RatHat, ¿debería formatear mi dispositivo de almacenamiento para deshacerme de él?

El formateo rara vez es necesario. Ejecutar una herramienta de seguridad móvil de confianza como Combo Cleaner debería detectar y eliminar RatHat en la mayoría de los casos. Dicho esto, el agente Go de RatHat está diseñado para sobrevivir a la eliminación estándar de aplicaciones, por lo que un restablecimiento de fábrica puede ser la opción más segura si la eliminación automática no tiene éxito.

¿Cuáles son los mayores problemas que puede causar el malware RatHat?

RatHat puede robar credenciales bancarias y de pago a través de superposiciones de inicio de sesión falsas, registro de pulsaciones de teclas basado en accesibilidad y captura de PIN a nivel de hardware a partir de coordenadas de toque sin procesar. También intercepta códigos de autenticación de dos factores y otorga a los atacantes un control remoto persistente a nivel de shell sobre el dispositivo.

Las víctimas pueden enfrentarse a transacciones financieras no autorizadas, vaciado de cuentas bancarias, robo de identidad y vigilancia continua de toda la actividad del dispositivo, incluso después de que la aplicación principal parezca haber sido eliminada.

¿Cuál es el propósito del malware RatHat?

La mayoría de los ataques de malware están motivados por el lucro. RatHat está diseñado específicamente para recopilar credenciales bancarias y de pago con fines de fraude financiero. Sin embargo, sus capacidades de control remoto también podrían utilizarse para espionaje, vigilancia o interrupción más allá del robo directo.

¿Cómo se infiltró el malware RatHat en mi dispositivo Android?

RatHat se distribuye normalmente a través de mensajes SMS engañosos que enlazan a sitios de phishing, o a través de publicidad maliciosa que redirige a los usuarios a portales de descarga de terceros. Estos portales ofrecen archivos APK disfrazados de aplicaciones legítimas que los usuarios instalan manualmente fuera de la tienda de aplicaciones oficial.

¿Me protegerá Combo Cleaner del malware?

Combo Cleaner puede detectar y eliminar casi todas las infecciones de malware conocidas. Realizar un análisis completo del sistema es esencial, ya que las amenazas sofisticadas como RatHat utilizan múltiples capas antianálisis y ejecutan componentes fuera del ciclo de vida estándar de las aplicaciones para ocultarse lo más profundamente posible dentro del dispositivo.