Los investigadores de Zimperium han puesto nombre a una nueva amenaza para Android: RatHat, un malware que se hace pasar por aplicaciones legítimas como Google Chrome. Cuando la víctima concede los permisos de administrador que pide, obtiene acceso a la shell ADB mediante desbloqueos de herramientas para desarrolladores. Después instala en segundo plano un agente de IA que recopila información sensible y la envía a atacantes remotos a través de un proxy.

Qué hace RatHat

Una vez activo, no hace nada que delate su presencia. Se limita a robar nombres de usuario, contraseñas, códigos de autenticación de dos factores, mensajes, fotos y otros datos personales. Zimperium apunta a que los atacantes podrían estar basados en China.

Se distribuye sobre todo mediante smishing y campañas de malvertising que imitan sitios de descarga de terceros. Algunas páginas falsas replican la tienda oficial de aplicaciones de Google.

Cómo proteger el móvil

La primera barrera es no instalar apps fuera de Google Play, evitar enlaces de SMS o mensajes directos y revisar permisos antes de aceptar una aplicación nueva. Si aparece un aviso para descargar una app que ya tienes instalada, como otra copia de Chrome, lo mejor es no hacer caso. Mantener Google Play Protect activo y usar herramientas de seguridad como Malwarebytes Mobile Security o Bitdefender Total Security ayuda a detectar el peligro antes de instalar nada. También se citan ESET Home Security Essential y Avira Prime.

Si el dispositivo ya está infectado, eliminarlo es complicado. Es difícil de identificar y, por sus privilegios administrativos, la única solución completa es restaurar el móvil de fábrica. Eso no es infalible: algunas aplicaciones y código pueden persistir tras la restauración. Además, el espionaje no comienza hasta que se abre la app o se aceptan los permisos.

La infraestructura evoluciona

Cleafy, que clasifica RatHat como troyano bancario Android, publicó el 28 de septiembre un análisis: el implante apenas ha cambiado desde finales de 2025, pero su centro de mando y control ha pasado por tres generaciones en seis meses y se ha rebautizado de BlackCat a Panda Workshop. Desde abril de 2026 se han observado casi cien despliegues, lo que apunta a un modelo de malware como servicio.

Los paneles permiten construir, firmar y publicar nuevas muestras desde la consola del operador, y regenerarlas de forma programada para esquivar la detección por hash. La V5 añadió autenticación de dos factores para operadores; la V6, un constructor de páginas de phishing. Los límites de cuentas y el acceso por roles encajan con un modelo comercial en el que cada cliente opera su propia instancia.

Las campañas se han detectado en Europa, Latinoamérica y el Sudeste Asiático, y casi la mitad de las IP observadas están en una red con sede en Singapur. Además, el acceso de depuración inalámbrica permite desplegar un servicio nativo en Go con un clic: da control a nivel de shell, fuera del modelo de permisos de Android, y puede seguir activo tras eliminar la app maliciosa hasta el próximo reinicio.

IA para elegir víctimas

El último panel usa Gemini para analizar SMS recopilados en los dispositivos infectados y estimar el saldo bancario de cada víctima, clasificándolas en grupos de alto y medio valor. Cleafy subraya que esa herramienta prioriza víctimas, no ejecuta el fraude.

También usa Gemini cuando su automatización falla ante una interfaz Android desconocida: envía los detalles de la pantalla a un modelo de lenguaje y le pregunta dónde tocar. Las versiones anteriores soportaban varios proveedores de IA, pero Panda Workshop V6 consolidó la configuración alrededor de Gemini.

Cleafy advierte de que esta técnica podría revivir los sistemas de transferencia automática, aunque ninguna muestra analizada realizaba una transferencia fraudulenta.