RatHat usa un'intelligenza artificiale per controllare lo smartphone e sopravvivere alla disinstallazione

Si chiama RatHat ed è il malware Android più sofisticato analizzato di recente dai ricercatori di Zimperium. Non si tratta dell'ennesimo virus che sfrutta qualche falla tecnica oscura: RatHat costruisce la sua catena d'attacco usando funzioni legittime del sistema operativo Android, e le orchestra con l'aiuto di un assistente di intelligenza artificiale generativa che guida le azioni in tempo reale. Il risultato è un tipo di minaccia che mette in crisi alcune delle assunzioni più comuni sulla sicurezza degli smartphone.

Un trojan bancario con un motore AI

I trojan bancari per Android esistono da anni. La loro grammatica è nota: sovrappongono schermate di login false alle app reali, intercettano i codici OTP inviati via SMS, registrano lo schermo. RatHat fa tutto questo, ma aggiunge due elementi che cambiano la dinamica. Il primo è l'uso di un chatbot AI a cui invia in tempo reale una «mappa» di ciò che appare sullo schermo: l'assistente interpreta l'interfaccia, riconosce pulsanti e menu, e indica al malware quale azione compiere. Invece di dipendere da coordinate fisse — «tocca qui, poi qui» — il sistema si adatta se cambia il layout di un'app, se compare un popup inatteso, se il produttore dello smartphone ha modificato le impostazioni di sistema. È un salto di produttività per i criminali: l'automazione diventa robusta anche di fronte a variazioni che avrebbero reso inutile uno script tradizionale.

Il secondo elemento distintivo riguarda la persistenza. La promessa implicita di qualsiasi smartphone — «disinstallo l'app e torno pulito» — viene messa in crisi. RatHat avvia un processo nascosto che riattiva l'app anche dopo la rimozione, mostrando all'utente un finto messaggio di errore del Play Store per mascherare l'operazione. Secondo Zimperium, liberarsi definitivamente del malware richiede strumenti avanzati come ADB oppure un ripristino ai dati di fabbrica, con tutto ciò che comporta in termini di perdita di dati e configurazioni.

Come arriva sul telefono

Il vettore d'ingresso è quello classico: smishing e malvertising. Un SMS che simula urgenza — un pacco fermo alla dogana, una multa da pagare, un account da verificare — oppure un annuncio pubblicitario che intercetta un bisogno reale spinge l'utente fuori dai canali ufficiali verso una pagina di download esterna al Google Play Store. Qui viene proposta l'installazione di un file APK, cioè un pacchetto applicativo Android scaricato direttamente, aggirando le verifiche dello store. Se l'utente procede e concede i permessi richiesti, la catena d'infezione è avviata.

Il dato italiano aiuta a capire perché questo schema non è un fenomeno marginale. Nel rapporto del CERT-AGID sulle campagne malevole del 2025, le campagne malware finalizzate a dispositivi Android risultano in crescita di circa il 55% rispetto all'anno precedente. Ancora più significativo è il dato sullo smishing: nonostante un calo complessivo del 23% rispetto al 2024, la quota di messaggi SMS usati specificamente per distribuire malware è salita dal 28% al 45%. Meno volume, più efficacia criminale: chi usa ancora questo canale lo fa con obiettivi più precisi e conversioni più alte verso infezioni reali.

Meno SMS truffaldini in circolazione, ma quelli che restano sono sempre più efficaci nel infettare i dispositivi

Il percorso tecnico dell'attacco

La catena descritta da Zimperium parte dall'abuso delle impostazioni di accessibilità di Android. Questa funzione esiste per aiutare persone con disabilità a interagire con lo smartphone: legge i contenuti a schermo, automatizza alcune operazioni, migliora la fruibilità generale. È anche, da anni, uno dei permessi più ambiti dai malware, perché permette di «vedere» tutto ciò che appare sullo schermo e di simulare tocchi e azioni. RatHat usa l'accessibilità come trampolino per abilitare le opzioni sviluppatore e, in particolare, il Wireless Debugging.

Vale la pena spiegare cosa significa. A partire da Android 11, il sistema supporta il debug wireless: invece di collegare il telefono al computer con un cavo USB, si stabilisce una sessione di controllo via Wi‑Fi, dopo aver effettuato un abbinamento con un codice mostrato sul dispositivo. Nella pratica quotidiana è uno strumento per sviluppatori; in mano a un malware, diventa un canale per impartire comandi di sistema senza bisogno di privilegi di root, con un livello di controllo ben superiore alla semplice automazione dei tocchi.

A questo si aggiunge un keylogger che, secondo la descrizione, opera a livello del driver del touchscreen per ricostruire PIN e sequenze di sblocco. Se confermato, significa che il malware non si limita a intercettare ciò che appare sullo schermo, ma cattura anche i gesti fisici dell'utente. L'obiettivo finale è prendere il controllo degli account bancari e di criptovalute nel minor tempo possibile, sfruttando il fatto che oggi la sicurezza si affida spesso a un secondo fattore di verifica che arriva sullo stesso telefono che si vuole compromettere: se il dispositivo è già infetto, quella separazione tra identità e autorizzazione di fatto scompare.

RatHat non è un caso isolato

Il 12 luglio 2026 è stata documentata una variante del malware Android RedHook capace di abusare del Wireless ADB per ottenere accesso a livello shell senza richiedere un computer collegato. È un precedente rilevante: suggerisce che la tecnica di usare il debug wireless come canale di controllo privilegiato sta circolando come approccio riutilizzabile, non come invenzione di un singolo gruppo. RatHat, in questa lettura, accelera un metodo già in evoluzione.

Anche Google ha riconosciuto che le funzioni di accessibilità sono diventate un campo di battaglia. In un post dell'11 dicembre 2025 ha descritto nuove misure per limitare gli abusi: rifiuto sullo store delle app che dichiarano di essere strumenti di accessibilità senza esserlo, e blocchi aggiuntivi tramite Play Protect. Sul versante della scansione, a febbraio 2026 Google ha dichiarato che Play Protect arriva a scansionare oltre 350 miliardi di app al giorno, operando anche su applicazioni installate al di fuori del Play Store. Queste difese alzano il costo per chi vuole entrare nel canale ufficiale, ma RatHat lavora esattamente nel fuori-pista: installazione esterna, ingegneria sociale, permessi concessi passo dopo passo dall'utente stesso.

Quando un malware guida l'utente attraverso le impostazioni del telefono, ogni singolo passaggio sembra ragionevole

Cosa può fare chi usa uno smartphone

I segnali di un'infezione di questo tipo tendono a essere indiretti. Richieste insistenti di permessi di accessibilità da parte di app che non hanno alcun motivo reale per averli, schermate di login bancarie che sembrano leggermente diverse dall'originale, aperture automatiche di impostazioni o attivazioni non richieste delle opzioni sviluppatore. Anche messaggi d'errore che citano il Play Store fuori contesto dovrebbero insospettire: è una tecnica usata per mascherare operazioni in corso.

Sul fronte della prevenzione, la regola fondamentale rimane evitare installazioni da fonti esterne al Play Store e trattare i permessi di accessibilità come qualcosa da concedere solo quando si capisce esattamente a cosa servono. Mantenere aggiornati il sistema operativo e i servizi Google è utile perché molte protezioni — inclusi aggiornamenti di Play Protect — arrivano in modo silenzioso, senza aspettare i grandi aggiornamenti del sistema.

Se si sospetta un'infezione che resiste alla disinstallazione, il ripristino ai dati di fabbrica resta la soluzione più affidabile per un utente comune, a patto di non ripristinare automaticamente app e impostazioni da un backup che potrebbe contenere l'elemento compromesso. In ambito aziendale, dove i telefoni sono spesso gestiti tramite sistemi di MDM, si apre un'altra strada: policy che impediscono il debug wireless, limitano le installazioni da sorgenti non verificate e restringono l'accesso alle impostazioni di accessibilità. È meno visibile per il singolo utente, ma è uno dei motivi per cui una minaccia come RatHat interessa anche i responsabili IT delle aziende.

Il paradosso delle funzioni legittime

La lettura più ampia che emerge dall'analisi di RatHat riguarda un paradosso strutturale. Android ha introdotto funzioni pensate per rendere sviluppo, assistenza e accessibilità più moderni e fluidi. La stessa fluidità è ciò che l'attaccante prova a riutilizzare. Attivare il debug wireless, abilitare le opzioni sviluppatore, concedere l'accessibilità a un'app arrivata via link: ciascun passaggio ha senso in un contesto legittimo, ma in sequenza traccia una traiettoria anomala che le difese attuali faticano a intercettare senza generare falsi allarmi.

Finché la catena di infezione continua a passare da SMS ingannevoli e pubblicità fraudolenta, le difese non possono vivere soltanto nelle policy dello store. Devono stare anche nei segnali che il sistema è in grado di leggere quando qualcosa prova ad accendere, da solo, le «luci di servizio» del telefono.