Comment se débarrasser du malware Android RatHat

Quel type de malware est RatHat ?

RatHat est un cheval de Troie d'accès à distance (RAT) Android lié à des acteurs malveillants que l'on pense opérer en Chine. Selon les recherches publiées par l'équipe zLabs de Zimperium, il combine l'automatisation pilotée par l'IA, l'enregistrement de frappe au niveau matériel et des protections anti-analyse sophistiquées pour dérober les identifiants bancaires et maintenir un contrôle à distance persistant sur les appareils infectés.

Aperçu du malware RatHat

RatHat a été découvert par l'équipe zLabs de Zimperium, qui l'a identifié comme un RAT Android sophistiqué lié à des opérateurs basés en Chine. Il est distribué principalement via des campagnes de smishing et de malvertising qui poussent les victimes vers des portails de téléchargement tiers hébergeant des fichiers APK malveillants déguisés en applications légitimes. L'un de ces sites, kingbss[.]com, présente le malware comme une application rapide et « sûre » nommée Nexus One.

Dans certaines versions, l'application se cache derrière l'icône et le nom d'un service de streaming bien connu (le schéma de recherche montre des leurres Disney+ et ZEE5), et l'opérateur peut ensuite remplacer l'icône par une icône étiquetée « Chrome ». Une fois installé, RatHat demande l'accès au service d'accessibilité d'Android.

L'application utilise des pages leurres HTML localisées, notamment en affirmant que l'autorisation est nécessaire en raison de restrictions réseau, afin de persuader l'utilisateur d'accorder l'accès. Dans certains pays, le leurre agite également un appât financier. Cette unique autorisation devient l'élément déclencheur de presque toutes les capacités malveillantes qui suivent.

Avec l'accès à l'accessibilité en place, le malware navigue silencieusement dans les paramètres de l'appareil pour déverrouiller les options pour développeurs et activer le débogage sans fil. Il lit ensuite le code d'appairage et le port générés directement dans l'interface affichée à l'écran, et utilise une bibliothèque ADB intégrée pour s'appairer avec le démon Android Debug Bridge de l'appareil lui-même. Le résultat est un accès de niveau shell à l'appareil, obtenu entièrement sans ordinateur externe.

À partir de ce shell privilégié, RatHat déploie deux composants supplémentaires. Le premier est un agent en langage Go, déguisé en bibliothèque native nommée liblocal-service.so, qui agit comme un exécuteur de commande et contrôle capable d'exécuter des commandes système privilégiées. Le second est un client de proxy inverse, déguisé en libmedia_codec.so, qui établit un tunnel chiffré persistant vers le serveur de l'attaquant.

L'une des caractéristiques les plus distinctives de RatHat est son utilisation de l'IA générative pour la navigation sur l'appareil. Le malware convertit l'arborescence d'accessibilité en direct de l'appareil en XML et l'envoie à Google Gemini, qui répond avec des coordonnées précises à l'écran pour des appuis et des commandes de défilement synthétiques. Cette approche adaptative est plus difficile à reconnaître pour les outils de sécurité que l'automatisation traditionnelle scriptée.

Les invites IA intégrées dans le malware sont rédigées en chinois, ce qui est l'un des indicateurs pointant vers des opérateurs basés en Chine. L'une de ces invites, par exemple, demande à l'IA de localiser le bouton « Pair device with pairing code » dans le menu du débogage sans fil, afin que le malware puisse appuyer dessus sans intervention humaine.

Le vol d'identifiants fonctionne selon trois méthodes parallèles. Le moteur de superposition injecte de fausses pages de connexion HTML par-dessus des applications bancaires et de paiement ciblées, capturant tout ce qui y est saisi. Les exemples présentés par les chercheurs incluent une fausse page de connexion Bank of America et un écran de code PIN bancaire en langue russe.

Les utilisateurs de WeChat et Alipay sont ciblés par des écrans distincts de « vérification d'identité » en langue chinoise qui demandent le code PIN de paiement à six chiffres. Ces superpositions sont intégrées directement dans le code du malware plutôt que téléchargées depuis le serveur de l'attaquant.

Une deuxième méthode utilise le service d'accessibilité pour reconstruire le texte saisi à partir des événements affichés à l'écran, y compris les champs de mot de passe masqués. La troisième méthode lit les coordonnées tactiles brutes du pilote d'entrée de l'appareil via l'outil getevent, une approche normalement réservée aux processus de niveau shell.

Le malware compare ces coordonnées tactiles avec des cartes de disposition de clavier stockées pour les grandes marques de téléphones, reconstruisant les codes PIN, les schémas de déverrouillage et les mots de passe. Cette technique contourne les restrictions FLAG_SECURE, les claviers personnalisés et les protections d'écran de verrouillage qui bloqueraient entièrement les deux autres méthodes.

RatHat intercepte également les messages SMS et les notifications push pour capturer les codes d'authentification à deux facteurs. Il diffuse l'écran de l'appareil via deux canaux indépendants : l'un utilisant l'API standard MediaProjection et l'autre via l'agent Go de niveau shell qui ne nécessite aucune boîte de dialogue de consentement de l'utilisateur. Un inventaire complet des applications installées est envoyé à l'attaquant, et des fichiers peuvent être transférés dans les deux sens.

L'agent Go peut désactiver silencieusement ou désinstaller entièrement d'autres paquets, y compris des logiciels de sécurité, à l'aide des commandes standard du gestionnaire de paquets Android. Il exempte également le malware de l'optimisation de la batterie et le place dans le groupe de veille de plus haute priorité, garantissant qu'il s'exécute sans interruption en arrière-plan.

La persistance survit à la désinstallation. L'agent Go s'exécute en dehors du cycle de vie de l'application principale, de sorte que la suppression de l'application ne supprime pas l'agent. L'agent détecte l'application manquante et réinstalle automatiquement l'APK, réaccorde toutes les autorisations d'exécution et réactive l'accessibilité sans aucune interaction à l'écran.

L'application principale intercepte séparément la boîte de dialogue de confirmation de désinstallation et superpose une fausse erreur Google Play pour annuler la suppression avant qu'elle ne se termine. Des astuces supplémentaires de maintien en vie, telles que des alarmes programmées, la synchronisation de compte et un chien de garde natif, redémarrent ses composants s'ils sont arrêtés.

Les protections anti-analyse s'étendent sur quatre couches structurelles. Le dropper chiffre sa charge utile à l'aide de transformations XOR et de la compression GZIP. L'AndroidManifest de l'APK est gonflé à 61 Mo avec des blocs de données non documentés qui font planter la plupart des décompilateurs. L'empoisonnement du bytecode DEX fait échouer les désassembleurs, et un double schéma de chiffrement des chaînes masque toutes les chaînes lisibles au repos.

Six vérifications anti-débogage d'exécution détectent les débogueurs JDWP, l'attachement de ptrace, le framework d'instrumentation Frida, les modules Xposed, les indicateurs de root et les artefacts d'émulateur. La plupart des environnements d'analyse automatisés plantent sur le manifeste malformé ou sont activement détectés et évités lors de l'exécution.

En résumé, la présence d'un logiciel comme RatHat sur un appareil peut entraîner de multiples infections système, de graves atteintes à la vie privée, des pertes financières et le vol d'identité. Il convient de noter que les développeurs de malwares améliorent souvent leurs logiciels et leurs méthodologies. Ainsi, de futures itérations potentielles de RatHat pourraient présenter des fonctionnalités et des caractéristiques supplémentaires ou différentes.

Exemples de chevaux de Troie d'accès à distance

RatHat se distingue parmi les RAT Android par sa navigation assistée par IA, sa capture de code PIN au niveau matériel et sa persistance multi-étapes qui se réinstalle activement après suppression. Ces capacités en font une menace sérieuse et résiliente pour les utilisateurs d'applications bancaires et de paiement, avec un potentiel de dommages financiers graves et durables.

D'autres exemples de chevaux de Troie d'accès à distance ciblant Android incluent Night Dragon, Flying Eagle et Glitch SPY. Les malwares de ce type sont généralement conçus pour donner aux attaquants un accès secret et à long terme aux appareils des victimes et aux données sensibles qui y sont stockées.

Comment RatHat a-t-il infiltré mon appareil ?

RatHat se propage principalement via des messages SMS trompeurs contenant des liens vers des sites de phishing, et via des campagnes de malvertising qui redirigent les utilisateurs vers des portails de téléchargement tiers. Ces portails hébergent des fichiers APK malveillants déguisés en applications de streaming populaires ou en autres logiciels légitimes. Par exemple, une page hébergée sur kingbss[.]com propose une application prétendument rapide et stable nommée Nexus One, avec un gros bouton « Download Now » qui délivre le malware.

Les victimes qui installent l'APK en dehors du Google Play Store officiel contournent le processus intégré d'examen des applications d'Android. Le dropper demande ensuite les autorisations d'accessibilité à l'aide d'invites à l'écran persuasives et localisées, et toute la chaîne d'infection se déroule silencieusement en arrière-plan une fois cette autorisation accordée.

Comment éviter l'installation de malwares ?

Téléchargez des applications uniquement depuis le Google Play Store officiel et vérifiez les détails de l'éditeur et les avis des utilisateurs avant d'installer quoi que ce soit. Soyez prudent avec les liens arrivant par SMS, en particulier ceux qui vous dirigent vers le téléchargement d'un fichier APK depuis un site Web inconnu.

Maintenez votre système d'exploitation Android et toutes les applications installées régulièrement à jour. Utilisez un logiciel de sécurité mobile réputé sur votre appareil et prêtez une attention particulière aux demandes d'autorisation. Une application demandant l'accès au service d'accessibilité sans raison claire et légitime est un signe d'avertissement fort.

Site Web trompeur (kingbss[.]com) faisant la promotion de RatHat en tant qu'application « Nexus One » (source : Zimperium) :

Fausses superpositions de RatHat ciblant Bank of America et une application bancaire en langue russe (source : Zimperium) :

Menu rapide :

• Introduction
• Comment supprimer l'historique de navigation du navigateur Web Chrome ?
• Comment désactiver les notifications du navigateur dans le navigateur Web Chrome ?
• Comment réinitialiser le navigateur Web Chrome ?
• Comment supprimer l'historique de navigation du navigateur Web Firefox ?
• Comment désactiver les notifications du navigateur dans le navigateur Web Firefox ?
• Comment réinitialiser le navigateur Web Firefox ?
• Comment désinstaller les applications potentiellement indésirables et/ou malveillantes ?
• Comment démarrer l'appareil Android en « Mode sans échec » ?
• Comment vérifier l'utilisation de la batterie par les différentes applications ?
• Comment vérifier l'utilisation des données par les différentes applications ?
• Comment installer les dernières mises à jour logicielles ?
• Comment réinitialiser le système à son état par défaut ?
• Comment désactiver les applications disposant de privilèges d'administrateur ?

Supprimer l'historique de navigation du navigateur Web Chrome :

Appuyez sur le bouton « Menu » (trois points dans le coin supérieur droit de l'écran) et sélectionnez « Historique » dans le menu déroulant ouvert.

Appuyez sur « Effacer les données de navigation », sélectionnez l'onglet « PARAMÈTRES AVANCÉS », choisissez la plage horaire et les types de données que vous souhaitez supprimer, puis appuyez sur « Effacer les données ».

[Retour à la Table des Matières]

Désactiver les notifications du navigateur dans le navigateur Web Chrome :

Appuyez sur le bouton « Menu » (trois points dans le coin supérieur droit de l'écran) et sélectionnez « Paramètres » dans le menu déroulant ouvert.

Faites défiler vers le bas jusqu'à ce que vous voyiez l'option « Paramètres des sites » et appuyez dessus. Faites défiler vers le bas jusqu'à ce que vous voyiez l'option « Notifications » et appuyez dessus.

Trouvez les sites Web qui diffusent des notifications du navigateur, appuyez dessus et cliquez sur « Effacer et réinitialiser ». Cela supprimera les autorisations accordées à ces sites Web pour diffuser des notifications. Cependant, une fois que vous visiterez à nouveau le même site, il pourra à nouveau demander une autorisation. Vous pouvez choisir d'accorder ou non ces autorisations (si vous choisissez de refuser, le site Web ira dans la section « Bloqué » et ne vous demandera plus l'autorisation).

[Retour à la Table des Matières]

Réinitialiser le navigateur Web Chrome :

Allez dans « Paramètres », faites défiler vers le bas jusqu'à ce que vous voyiez « Applications » et appuyez dessus.

Faites défiler vers le bas jusqu'à ce que vous trouviez l'application « Chrome », sélectionnez-la et appuyez sur l'option « Stockage ».

Appuyez sur « GÉRER LE STOCKAGE », puis sur « EFFACER TOUTES LES DONNÉES » et confirmez l'action en appuyant sur « OK ». Notez que la réinitialisation du navigateur éliminera toutes les données qui y sont stockées. Cela signifie que tous les identifiants/mots de passe enregistrés, l'historique de navigation, les paramètres non par défaut et autres données seront supprimés. Vous devrez également vous reconnecter à tous les sites Web.

[Retour à la Table des Matières]

Supprimer l'historique de navigation du navigateur Web Firefox :

Appuyez sur le bouton « Menu » (trois points dans le coin supérieur droit de l'écran) et sélectionnez « Historique » dans le menu déroulant ouvert.

Faites défiler vers le bas jusqu'à ce que vous voyiez « Effacer les données privées » et appuyez dessus. Sélectionnez les types de données que vous souhaitez supprimer et appuyez sur « EFFACER LES DONNÉES ».

[Retour à la Table des Matières]

Désactiver les notifications du navigateur dans le navigateur Web Firefox :

Visitez le site Web qui diffuse des notifications du navigateur, appuyez sur l'icône affichée à gauche de la barre d'URL (l'icône ne sera pas nécessairement un « Cadenas ») et sélectionnez « Modifier les paramètres du site ».

Dans la fenêtre contextuelle ouverte, sélectionnez l'option « Notifications » et appuyez sur « EFFACER ».

[Retour à la Table des Matières]

Réinitialiser le navigateur Web Firefox :

Allez dans « Paramètres », faites défiler vers le bas jusqu'à ce que vous voyiez « Applications » et appuyez dessus.

Faites défiler vers le bas jusqu'à ce que vous trouviez l'application « Firefox », sélectionnez-la et appuyez sur l'option « Stockage ».

Appuyez sur « EFFACER LES DONNÉES » et confirmez l'action en appuyant sur « SUPPRIMER ». Notez que la réinitialisation du navigateur éliminera toutes les données qui y sont stockées. Cela signifie que tous les identifiants/mots de passe enregistrés, l'historique de navigation, les paramètres non par défaut et autres données seront supprimés. Vous devrez également vous reconnecter à tous les sites Web.

[Retour à la Table des Matières]

Désinstaller les applications potentiellement indésirables et/ou malveillantes :

Allez dans « Paramètres », faites défiler vers le bas jusqu'à ce que vous voyiez « Applications » et appuyez dessus.

Faites défiler vers le bas jusqu'à ce que vous voyiez une application potentiellement indésirable et/ou malveillante, sélectionnez-la et appuyez sur « Désinstaller ». Si, pour une raison quelconque, vous ne parvenez pas à supprimer l'application sélectionnée (par exemple, un message d'erreur s'affiche), vous devriez essayer d'utiliser le « Mode sans échec ».

[Retour à la Table des Matières]

Démarrer l'appareil Android en « Mode sans échec » :

Le « Mode sans échec » dans le système d'exploitation Android désactive temporairement l'exécution de toutes les applications tierces. L'utilisation de ce mode est un bon moyen de diagnostiquer et de résoudre divers problèmes (par exemple, supprimer des applications malveillantes qui empêchent les utilisateurs de le faire lorsque l'appareil fonctionne « normalement »).

Appuyez sur le bouton « Marche/Arrêt » et maintenez-le enfoncé jusqu'à ce que vous voyiez l'écran « Éteindre ». Appuyez sur l'icône « Éteindre » et maintenez-la enfoncée. Après quelques secondes, l'option « Mode sans échec » apparaîtra et vous pourrez l'exécuter en redémarrant l'appareil.

[Retour à la Table des Matières]

Vérifier l'utilisation de la batterie par les différentes applications :

Allez dans « Paramètres », faites défiler vers le bas jusqu'à ce que vous voyiez « Maintenance de l'appareil » et appuyez dessus.

Appuyez sur « Batterie » et vérifiez l'utilisation de chaque application. Les applications légitimes/authentiques sont conçues pour utiliser le moins d'énergie possible afin d'offrir la meilleure expérience utilisateur et d'économiser de l'énergie. Par conséquent, une utilisation élevée de la batterie peut indiquer que l'application est malveillante.

[Retour à la Table des Matières]

Vérifier l'utilisation des données par les différentes applications :

Allez dans « Paramètres », faites défiler vers le bas jusqu'à ce que vous voyiez « Connexions » et appuyez dessus.

Faites défiler vers le bas jusqu'à ce que vous voyiez « Utilisation des données » et sélectionnez cette option. Comme pour la batterie, les applications légitimes/authentiques sont conçues pour minimiser autant que possible l'utilisation des données. Cela signifie qu'une utilisation importante des données peut indiquer la présence d'une application malveillante. Notez que certaines applications malveillantes peuvent être conçues pour fonctionner uniquement lorsque l'appareil est connecté à un réseau sans fil. Pour cette raison, vous devriez vérifier l'utilisation des données à la fois mobiles et Wi-Fi.

Si vous trouvez une application qui utilise beaucoup de données même si vous ne l'utilisez jamais, nous vous conseillons vivement de la désinstaller dès que possible.

[Retour à la Table des Matières]

Installer les dernières mises à jour logicielles :

Maintenir le logiciel à jour est une bonne pratique en matière de sécurité de l'appareil. Les fabricants d'appareils publient continuellement divers correctifs de sécurité et mises à jour Android afin de corriger les erreurs et les bugs qui peuvent être exploités par les cybercriminels. Un système obsolète est bien plus vulnérable, c'est pourquoi vous devriez toujours vous assurer que le logiciel de votre appareil est à jour.

Allez dans « Paramètres », faites défiler vers le bas jusqu'à ce que vous voyiez « Mise à jour du logiciel » et appuyez dessus.

Appuyez sur « Télécharger les mises à jour manuellement » et vérifiez s'il existe des mises à jour disponibles. Si c'est le cas, installez-les immédiatement. Nous recommandons également d'activer l'option « Télécharger les mises à jour automatiquement » - elle permettra au système de vous avertir dès qu'une mise à jour est publiée et/ou de l'installer automatiquement.

[Retour à la Table des Matières]

Réinitialiser le système à son état par défaut :

Effectuer une « Réinitialisation d'usine » est un bon moyen de supprimer toutes les applications indésirables, de restaurer les paramètres du système par défaut et de nettoyer l'appareil en général. Cependant, vous devez garder à l'esprit que toutes les données de l'appareil seront supprimées, y compris les photos, les fichiers vidéo/audio, les numéros de téléphone (stockés dans l'appareil, pas sur la carte SIM), les messages SMS, etc. En d'autres termes, l'appareil sera restauré à son état d'origine.

Vous pouvez également restaurer les paramètres système de base et/ou simplement les paramètres réseau.

Allez dans « Paramètres », faites défiler vers le bas jusqu'à ce que vous voyiez « À propos du téléphone » et appuyez dessus.

Faites défiler vers le bas jusqu'à ce que vous voyiez « Réinitialiser » et appuyez dessus. Choisissez maintenant l'action que vous souhaitez effectuer :
« Réinitialiser les paramètres » - restaure tous les paramètres système par défaut ;
« Réinitialiser les paramètres réseau » - restaure tous les paramètres liés au réseau par défaut ;
« Réinitialisation des données d'usine » - réinitialise l'ensemble du système et supprime complètement toutes les données stockées ;

[Retour à la Table des Matières]

Désactiver les applications disposant de privilèges d'administrateur :

Si une application malveillante obtient des privilèges de niveau administrateur, elle peut gravement endommager le système. Pour garder l'appareil aussi sûr que possible, vous devriez toujours vérifier quelles applications disposent de tels privilèges et désactiver celles qui ne devraient pas en avoir.

Allez dans « Paramètres », faites défiler vers le bas jusqu'à ce que vous voyiez « Écran de verrouillage et sécurité » et appuyez dessus.

Faites défiler vers le bas jusqu'à ce que vous voyiez « Autres paramètres de sécurité », appuyez dessus, puis appuyez sur « Applications d'administration de l'appareil ».

Identifiez les applications qui ne devraient pas disposer de privilèges d'administrateur, appuyez dessus, puis appuyez sur « DÉSACTIVER ».

Foire aux questions (FAQ)

Mon appareil Android est infecté par le malware RatHat, dois-je formater mon périphérique de stockage pour m'en débarrasser ?

Le formatage est rarement nécessaire. L'exécution d'un outil de sécurité mobile réputé comme Combo Cleaner devrait détecter et éliminer RatHat dans la plupart des cas. Cela dit, l'agent Go de RatHat est conçu pour survivre à la suppression standard de l'application, de sorte qu'une réinitialisation d'usine peut être l'option la plus sûre si la suppression automatisée échoue.

Quels sont les problèmes les plus importants que le malware RatHat peut causer ?

RatHat peut voler des identifiants bancaires et de paiement via de fausses superpositions de connexion, un enregistrement de frappe basé sur l'accessibilité et une capture de code PIN au niveau matériel à partir des coordonnées tactiles brutes. Il intercepte également les codes d'authentification à deux facteurs et donne aux attaquants un contrôle à distance persistant de niveau shell sur l'appareil.

Les victimes peuvent être confrontées à des transactions financières non autorisées, à des comptes bancaires vidés, au vol d'identité et à une surveillance continue de toute l'activité de l'appareil, même après que l'application principale semble avoir été supprimée.

Quel est le but du malware RatHat ?

La plupart des attaques de malwares sont motivées par le profit. RatHat est spécifiquement conçu pour récolter des identifiants bancaires et de paiement à des fins de fraude financière. Cependant, ses capacités de contrôle à distance pourraient également être utilisées pour l'espionnage, la surveillance ou la perturbation au-delà du vol direct.

Comment le malware RatHat a-t-il infiltré mon appareil Android ?

RatHat est généralement délivré via des messages SMS trompeurs renvoyant vers des sites de phishing, ou via du malvertising qui redirige les utilisateurs vers des portails de téléchargement tiers. Ces portails proposent des fichiers APK déguisés en applications légitimes que les utilisateurs installent manuellement en dehors de la boutique d'applications officielle.

Combo Cleaner me protégera-t-il des malwares ?

Combo Cleaner peut détecter et éliminer la quasi-totalité des infections de malwares connues. Effectuer une analyse complète du système est essentiel, car les menaces sophistiquées comme RatHat utilisent plusieurs couches anti-analyse et exécutent des composants en dehors du cycle de vie standard des applications pour se cacher aussi profondément que possible dans l'appareil.