RatHat è un nuovo malware per Android individuato dai ricercatori di Zimperium e descritto il 17-18 settembre 2026 da diverse testate specializzate. La sua particolarità è che combina tecniche già note nel mobile malware con due elementi che lo rendono più insidioso per aziende e utenti: l’automazione guidata da AI e l’abuso di ADB, il sistema di debug di Android, per mantenere accesso al dispositivo anche dopo la disinstallazione dell’app malevola.
Per un’azienda il tema non è solo “un virus sul telefono”. Se uno smartphone aziendale o personale usato per lavoro viene compromesso, l’attaccante può leggere SMS e codici OTP, intercettare credenziali, osservare ciò che compare a schermo e usare il telefono come punto d’ingresso verso servizi aziendali, home banking e account cloud.
Che cos’è RatHat e perché è diverso dai soliti malware Android
RatHat è una minaccia Android che, secondo l’analisi pubblicata da Zimperium, viene distribuita soprattutto tramite campagne di smishing, cioè phishing via SMS, malvertising e siti ingannevoli che spingono l’utente a scaricare file APK al di fuori di Google Play. In pratica, l’utente riceve un messaggio o vede un annuncio che lo porta su un portale falso, scarica un’app apparentemente legittima e innesca l’infezione.
Fin qui nulla di completamente nuovo. La differenza sta nell’architettura e nella persistenza. RatHat non si limita a chiedere permessi elevati: sfrutta i servizi di Accessibilità di Android per compiere azioni sul dispositivo, attiva le opzioni sviluppatore e il wireless debugging, recupera il codice di pairing ADB e ottiene così un contesto di esecuzione con privilegi di shell locale, senza bisogno di collegare il telefono a un computer esterno.
Questo passaggio è cruciale: una volta ottenuto accesso via ADB, il malware riesce a uscire dai limiti normali imposti a un’app Android e installa componenti aggiuntivi che restano operativi separatamente dall’app iniziale.
Come avviene l’infezione
Le fonti concordano su una catena di attacco in più fasi. Il primo elemento è sempre l’inganno dell’utente. RatHat si diffonde attraverso:
- SMS mirati con link fraudolenti
- annunci malevoli che reindirizzano a pagine di download fasulle
- portali di terze parti che offrono APK fuori dallo store ufficiale
- forum o siti che promuovono applicazioni scaricabili manualmente
Una volta installato l’APK, questo si comporta come un “dropper”, cioè un contenitore che prepara il terreno per il payload principale. L’app malevola chiede o forza permessi sensibili, in particolare quelli di Accessibilità, e da lì avvia la fase più pericolosa: la manipolazione dell’interfaccia Android per abilitare funzioni che normalmente richiedono intervento consapevole dell’utente.
Secondo i ricercatori, RatHat è anche progettato per complicare l’analisi tecnica del campione. Tra le tecniche osservate ci sono manomissioni del contenitore APK, un AndroidManifest appositamente costruito per mandare in errore strumenti automatici e istruzioni DEX invalide pensate per ostacolare il reverse engineering. Sono dettagli tecnici, ma il significato per le aziende è semplice: non si tratta di malware “artigianale”, bensì di una famiglia costruita per resistere sia ai controlli dell’utente sia alle analisi dei difensori.
Il ruolo di ADB: perché la disinstallazione potrebbe non bastare
L’aspetto che rende RatHat particolarmente rilevante è l’uso di ADB, Android Debug Bridge. ADB è uno strumento legittimo di amministrazione e sviluppo, ma in questo caso viene attivato e sfruttato localmente dal malware per ottenere una shell sul dispositivo.
Da quel momento entra in gioco un agente scritto in Go, mascherato come libreria nativa con il nome “liblocal-service.so”. Questo componente può eseguire comandi con privilegi di shell ADB, aggirare restrizioni energetiche e soprattutto mantenere la persistenza.
Le fonti riportano un comportamento molto chiaro: se l’utente riesce a rimuovere l’app malevola, l’attaccante può comunque conservare l’accesso alla shell del dispositivo. L’agente locale può verificare se il malware è ancora presente e, se non lo trova, reinstallarlo o ripristinarlo. Il rapporto è reciproco: anche il malware può ripristinare l’agente se quest’ultimo viene rimosso.
In pratica, la classica reazione “disinstallo l’app e ho risolto” potrebbe non funzionare. È questo il salto di qualità che preoccupa: la persistenza non dipende più solo dall’app visibile sul telefono, ma da componenti separati che continuano a vivere nel sistema.
L’automazione con AI: non è il punto più grave, ma cambia le regole del gioco
RatHat è stato descritto come un malware con sottosistema guidato da AI per navigare l’interfaccia del dispositivo compromesso. In base all’analisi di Zimperium, il malware serializza l’albero di Accessibilità attivo in formato XML e lo invia a uno dei più diffusi assistenti generativi, non nominato pubblicamente nel report.
L’AI viene usata per compiti pratici di navigazione, ad esempio:
- individuare le coordinate di un elemento dell’interfaccia
- capire quale testo sia realmente mostrato sullo schermo
- restituire comandi di navigazione come lo scorrimento verso il basso
Questo significa che l’automazione non dipende solo da script rigidi, validi per un’unica versione dell’app o per una singola schermata. Può adattarsi meglio ai cambiamenti dell’interfaccia, rendendo più semplice per gli operatori remoti controllare il dispositivo senza agire manualmente in tempo reale.
Va detto con chiarezza: il cuore del rischio non è “l’AI in sé”, ma l’unione tra permessi abusati, shell persistente e automazione più flessibile. È questa combinazione a rendere RatHat una minaccia moderna.
Cosa può rubare e fare sul dispositivo
Secondo quanto riportato nelle fonti, RatHat è in grado di svolgere numerose attività ostili. Tra le principali:
- intercettazione di SMS e notifiche, inclusi codici OTP
- raccolta di credenziali tramite overlay HTML su app bancarie e crypto
- registrazione dello schermo tramite le API MediaProjection
- cattura di URL digitati nel browser
- registrazione di eventi di digitazione
- acquisizione di PIN, password e pattern di sblocco
- raccolta dell’elenco delle app installate
- esfiltrazione di file e screenshot
BleepingComputer segnala anche la presenza di un secondo componente, “libmedia_codec.so”, usato come client FRP per creare un tunnel persistente verso il server di comando e controllo. In termini non tecnici, questo tunnel offre agli attaccanti una strada stabile e diretta verso il dispositivo infetto.
Le fonti parlano inoltre di un keylogger a livello hardware capace di registrare le pressioni delle dita sullo schermo. Per un’impresa questo significa esposizione potenziale non solo di messaggi e password, ma anche di flussi operativi sensibili: accessi a gestionali, autorizzazioni bancarie, piattaforme cloud e strumenti di autenticazione.
Perché interessa anche alle PMI italiane
Molte piccole e medie imprese sottovalutano il rischio mobile perché pensano al telefono come a un accessorio personale, non come a un endpoint aziendale. In realtà oggi lo smartphone contiene e transita dati strategici: email, Teams o WhatsApp di lavoro, codici MFA, app bancarie, CRM, documenti condivisi e credenziali salvate.
Un malware come RatHat può avere effetti concreti anche senza colpire direttamente il server aziendale. Basta compromettere il telefono del titolare, di un commerciale o di un amministrativo per ottenere:
- accesso a caselle email e reset password
- intercettazione di autenticazioni a due fattori
- furto di credenziali per servizi cloud
- esposizione di informazioni riservate di clienti e fornitori
- rischio di violazione dati con impatti anche privacy
Per questo la sicurezza mobile va trattata come parte integrante della postura di sicurezza informatica, non come tema separato o secondario.
Cosa significa per la tua azienda
La lezione pratica è semplice: se in azienda si usano smartphone Android per lavorare, non basta dire ai dipendenti “state attenti ai link”. Serve un minimo di governance.
Le priorità più concrete sono queste.
Primo: vietare o limitare in modo esplicito l’installazione di APK da fonti esterne. Se un’app non arriva da Google Play o da un canale aziendale controllato, deve essere considerata a rischio, salvo eccezioni approvate.
Secondo: formare il personale su smishing e annunci ingannevoli. Oggi molti attacchi mobili non iniziano con email sofisticate, ma con messaggi SMS che fingono consegne, pagamenti, pratiche amministrative o aggiornamenti di servizi.
Terzo: controllare i permessi di Accessibilità. Un’app che chiede questo tipo di autorizzazione senza una ragione chiarissima deve far scattare un allarme. È uno dei vettori più usati dal malware Android moderno.
Quarto: gestire gli smartphone come endpoint aziendali, con inventario, policy e monitoraggio. Dove possibile, è utile separare i dispositivi personali da quelli di lavoro o almeno applicare regole di gestione centralizzata. In questo contesto può essere utile un servizio di desktop IT management esteso anche alla gestione operativa degli endpoint mobili e degli accessi.
Quinto: preparare la risposta all’incidente. Se c’è il sospetto di infezione, non basta disinstallare l’app. Occorre isolare il dispositivo, revocare sessioni e token, cambiare password, verificare gli account con MFA e valutare un ripristino completo del telefono. Se sul dispositivo transitavano dati aziendali o personali, bisogna anche capire se esistono profili di rischio privacy rilevanti ai fini del GDPR.
Sesto: proteggere la continuità operativa. Quando lo smartphone diventa uno strumento di autenticazione o approvazione, la sua indisponibilità può bloccare il lavoro. Avere procedure alternative, credenziali di emergenza e processi documentati riduce il danno operativo nei momenti critici.
Come riconoscere segnali sospetti
Non esiste un singolo indicatore certo, ma alcuni campanelli d’allarme meritano attenzione immediata:
- richiesta improvvisa di installare un APK fuori dallo store
- app che chiedono permessi di Accessibilità senza motivo evidente
- comparsa di overlay o schermate che imitano Google Play o app bancarie
- tentativi di disinstallazione che falliscono con messaggi strani
- consumo anomalo di batteria o attività in background persistente
- SMS, notifiche o autorizzazioni che sembrano gestite “da sole”
Se uno di questi segnali compare su un dispositivo usato per lavoro, è prudente considerarlo un possibile incidente di sicurezza e non un semplice malfunzionamento.
Domande frequenti
Basta disinstallare l’app infetta per eliminare RatHat?
No, secondo l’analisi pubblicata il malware può mantenere accesso tramite componenti separati che usano ADB. In caso di sospetto serve una verifica più approfondita e spesso un ripristino completo del dispositivo.
RatHat si diffonde tramite Google Play?
Le fonti indicano soprattutto download di APK da siti ingannevoli, malvertising, SMS di phishing e canali esterni allo store ufficiale. Il rischio cresce quando si installano app fuori dai circuiti controllati.
Una PMI deve preoccuparsi anche se non gestisce dati “sensibili”?
Sì. Anche senza dati sanitari o finanziari, uno smartphone compromesso può esporre email, account cloud, codici MFA, rubrica clienti e conversazioni operative, con impatti economici e organizzativi significativi.