El troyano de acceso remoto AhRat tiene como objetivo el dispositivo Android y sus datos almacenados

AhRat es un troyano de acceso remoto (RAT) malicioso que se dirige principalmente a dispositivos Android. Se distribuyó a través de una aplicación de grabación de pantalla troyana disfrazada de aplicación legítima en la tienda Google Play. La versión original de la aplicación cargada en la tienda no tenía características maliciosas, pero más tarde, los actores de amenazas manipularon su funcionalidad e introdujeron componentes maliciosos en ella.

AhRat se basa en otra RAT llamada AhMyth, lo que indica una conexión entre las dos. Existen al menos dos versiones del código malicioso AhRat. La aplicación troyana utilizada para distribuir AhRat se llama iRecorder - Screen Recorder.

AhRat se infiltra en dispositivos Android a través de aplicaciones troyanizadas

Si bien la aplicación iRecorder maliciosa parece proporcionar capacidades de grabación de pantalla genuinas, también posee funcionalidades maliciosas adicionales. Por ejemplo, puede grabar audio desde el micrófono del dispositivo y luego transmitir esa grabación a un servidor de comando y control (C&C) ejecutado por un pirata informático. Esto permite al atacante escuchar conversaciones a escondidas o recopilar información de audio confidencial.

Además, la aplicación tiene la capacidad de extraer y transferir varios tipos de archivos desde el dispositivo comprometido. Puede recuperar páginas web guardadas, imágenes, audio, video, archivos de documentos, así como archivos comprimidos que contienen varios archivos. Esto sugiere que AhRat está involucrado en actividades de espionaje, ya que apunta específicamente al robo de archivos con ciertas extensiones.

La aplicación troyana que contiene el código AhRat se eliminó de Google Play Store. Sin embargo, existe la posibilidad de que se cargue en sitios web no oficiales o tiendas de aplicaciones alternativas.

Operaciones y comunicación de AhRat a través de interacciones de servidor de comando y control

Una vez que AhRat está instalado en un dispositivo, establece comunicación con el servidor de comando y control (C&C). Transmite detalles esenciales del dispositivo y recupera claves de cifrado junto con un archivo de configuración cifrado. Este archivo de configuración contiene varios comandos y detalles de configuración que rigen el comportamiento de AhRat en el dispositivo de destino.

AhRat envía solicitudes periódicas al servidor de C&C cada 15 minutos para obtener un archivo de configuración actualizado. Este archivo incluye instrucciones como el directorio para extraer datos de usuario, tipos de archivos específicos para extraer, un umbral de tamaño de archivo, duración de la grabación del micrófono y el intervalo entre grabaciones.

Vale la pena señalar que el archivo de configuración descifrado contiene un conjunto de comandos más grande que el que AhRat está actualmente programado para ejecutar. Esto sugiere que AhRat puede ser una versión simplificada en comparación con su lanzamiento inicial, que solo contenía código malicioso inalterado de AhMyth RAT. Sin embargo, AhRat sigue siendo capaz de extraer archivos del dispositivo comprometido y grabar audio a través del micrófono del dispositivo.