RatHat：削除しても復活するAndroidマルウェア｜ブログ(ほぼこもセキュリティニュース)

RatHatは、2026年9月に発見された高度なAndroid向けバンキング型トロイの木馬（Banking Trojan / RAT）です。
主にフィッシングSMS、悪質広告、サードパーティ製アプリフォーラムなどを経由して配布され、被害者の金融機関口座、暗号資産ウォレット、決済アプリの資格情報やPIN、ワンタイムパスワード（OTP）の奪取を目的としています。
従来のモバイルマルウェアと異なり、「ワイヤレスデバッグ（ADB）の悪用によるシェル権限取得」、「OSによるアプリ削除を回避する強い再インストール永続性」、「生成AIを活用した動的UI操作」という3つの高度な手法を組み合わせている点が極めて危険視されています。
特徴的な部分をみてみましょう。

ADB（ワイヤレスデバッグ）悪用による高権限の獲得
- 仕組み
  感染後、まず被害者をだましてアクセシビリティ（ユーザー補助機能）の権限を許可させます。
  この権限を利用して自動タップ攻撃を行い、設定画面から「開発者オプション」および「ワイヤレスデバッグ（Wireless Debugging）」を勝手に有効化します。
- 影響
  デバイスに表示されるペアリングコードとポート番号を自動で読み取り、デバイスローカルのADBサービスとペアリングを行います。
  これにより、通常アプリには許可されない高権限のシェルコマンド発行権限を攻撃者が獲得します。
リバースプロキシを利用したC2トンネルの確立
- 仕組み
  ADBのシェル権限を獲得したRatHatは、オープンソースのトンネルツール「Fast Reverse Proxy (FRP)」をベースにしたネイティブライブラリ（libmedia_codec.so など）を隠しコンポーネントとして配置します。
- 影響
  ファイアウォールやNATをすり抜けて外部のC2（コマンド＆コントロール）サーバとの間に暗号化された双方向トンネルを構築します。
  これにより、攻撃者は被害者の端末へいつでも直接リモートアクセスし、シェルコマンドの実行や端末の完全な遠隔操作が可能になります。
強固な永続化機構（アンインストール後の自己自動再インストール）
- 仕組み
  シェル権限を得たRatHatは、/data/local/tmp/ などのシステムディレクトリに隠しコンポーネント（Go言語ベースのエージェント liblocal-service.so など）を配置します。
- 影響
  ユーザが危険に気づいて表側のアプリ（APK）を削除（アンインストール）しても、バックグラウンドのローカルエージェントは削除されず常駐し続けます。
  エージェントが定期的にパッケージの存在をチェックし、削除を検知すると自動でAPKをサイレント再インストールし、権限を復元します。
生成AIを活用した動的UI自動操作
- 仕組み
  画面のリアルタイム構造（UIツリーやスクリーンショット）を外部の生成AIアシスタント/モデルに送信します。
- 影響
  AIが「該当するボタンの位置」「入力フィールドの場所」を解釈して指示を返すため、特定アプリの標準的なレイアウト変更や多言語環境であっても、座標依存によらず柔軟かつ正確に画面操作（ログインボタンのタップやスクロールなど）を実行・自動化します。
資格情報奪取と認証回避（偽オーバーレイ＆SMS窃取）
- 仕組み
  ターゲットとなる金融・決済アプリの起動を検知すると、その上に本物そっくりの偽WEB画面（HTML/オーバーレイ）を重ね合わせて提示します。
- 影響
  ユーザが入力したID、パスワード、画面タップ座標から推測したPIN、画面ロック解除パターンを記録します。
  同時に受信SMSや通知を監視してOTP（ワンタイムパスワード）を横取りするため、二要素認証（2FA）を容易に突破します。

RatHatは、「手動でアプリを消去しても裏で復活する」という強い永続性と、「生成AIを使った適応型の自動操作」を兼ね備えた新世代のモバイル脅威です。

次の対策が期待されます。

ユーザ側の対策:
- 公式ストア（Google Play等）以外からのAPKインストールを禁止・徹底する。
- 不審なアプリへの「アクセシビリティサービス」権限の付与や、「ワイヤレスデバッグ」の有効化要求に応じない。
- アプリ削除後も端末の不審動作が続く場合は、端末の初期化（ファクトリーリセット）を実施する。
組織・金融機関側の対策:
- モバイルバンキングアプリ側にオーバーレイ検知やアクセシビリティの不正操作検出、デバッグ状態の検出ロジックを実装する。
- SMSベースの2FA依存を減らし、FIDO2/Passkeyやアプリ内プッシュ承認など耐フィッシング性の高い認証方式へ移行する。

RatHat: AI-Powered Mobile Threat is Here for Your Credentials & Bank Accounts
https://zimperium.com/blog/rathat-ai-powered-mobile-threat-is-here-for-your-credentials-bank-accounts