Contexte et vecteurs d’infection
Le nouveau malware Android nommé RatHat a été identifié par les chercheurs de Zimperium comme étant piloté par des acteurs chinois. Il se propage principalement via des campagnes de smishing ciblées et du malvertising, redirigeant les victimes vers des portails de téléchargement tiers qui proposent des APK infectés. Ces paquets agissent comme des droppers, déclenchant une chaîne d’infection en plusieurs étapes avant d’activer la charge utile principale.
Architecture et mécanismes d’abus d’ADB
RatHat repose sur trois composants distincts : l’application Android malveillante, un agent Go masqué sous la bibliothèque native liblocal-service.so, et un client FRP (Fast Reverse Proxy). L’application obtient les permissions d’Accessibility, débloque les Options développeur, active le Wireless Debugging et extrait le code de couplage ADB à six chiffres. Grâce à ce code, l’agent Go initie un auto‑pairing local avec le démon ADB, contournant ainsi le bac à sable Android et exécutant des processus avec des privilèges de type shell. Le client FRP crée ensuite un tunnel inversé vers le serveur C2, offrant aux opérateurs un accès persistant au démon ADB, indépendamment des fonctionnalités propres au malware.
Techniques d’évasion et de persistance
Quatre méthodes d’obfuscation sont intégrées dans le package : container tampering (déclaration de fichiers comme répertoires ou utilisation du drapeau d’encryptage ZIP pour tromper libziparchive), manifest bomb (insertion d’en‑têtes de chunk 0x9999 non documentés dans AndroidManifest.xml qui font planter les pipelines d’analyse), DEX bytecode poisoning (pseudo‑instructions avec un attribut element_width invalide qui bloque la désassemblage) et dual string‑encryption (schéma StringCrypto: Base64 pour masquer les chaînes). Même après désinstallation de l’application, le service local ADB reste actif ; le malware vérifie sa présence et peut se réinstaller automatiquement, garantissant une persistance durable.
Implications pour la détection mobile
Le recours à l’AI générative renforce la capacité du malware à interagir avec l’interface utilisateur : le dispositif sérialise l’arbre d’accessibilité en XML, l’envoie à un assistant IA qui renvoie des coordonnées JSON, du texte d’écran et des commandes de navigation (ex. SCROLL_DOWN). Cette boucle décisionnelle en temps réel, couplée à la capacité d’exécuter des commandes via le démon ADB, rend les solutions basées sur les signatures classiques inefficaces. Les analystes recommandent de surveiller les activations de Wireless Debugging, les tentatives de couplage ADB non sollicitées et les comportements anormaux du service liblocal-service.so pour détecter ce type de menace.
