Analisti di sicurezza hanno descritto a metà settembre 2026 RatHat, malware per Android che abusa dei servizi di Accessibilità, abilita Wireless Debugging/ADB e usa componenti GenAI per navigare l'interfaccia a partire dall'albero XML di Accessibility. Può mantenere una shell persistente anche dopo la disinstallazione dell'app apparentemente rimossa e rubare credenziali, SMS, PIN e altri dati sensibili. La valutazione attribuisce l'attività ad attori con base in Cina.
Come opera RatHat
Il permesso di Accessibilità dà al malware una visione strutturata dell'UI e la capacità di simulare tap e gesture. Da lì può attivare il debugging wireless e aprire un canale ADB remoto, ampliando il controllo oltre l'app iniziale.
La componente GenAI serve a interpretare layout diversi senza regole fisse per ogni schermata: legge l'XML di Accessibility e decide le azioni, rendendo l'automazione più adattiva.
Persistenza e furto dati
Il tratto più critico è la persistenza: anche dopo aver «disinstallato» l'app, può restare una shell operativa sul dispositivo. In parallelo, il kit punta a credenziali, messaggi SMS e PIN — materiale utile per account takeover e frodi.
Non è un annoyance banale: è un profilo da remote access trojan con enfasi su controllo UI e canali di debug.
Come ridursi il rischio
Non concedere Accessibilità ad app sconosciute o non necessarie; rivedi l'elenco in Impostazioni → Accessibilità e revoca tutto ciò che non riconosci. Tieni Android aggiornato e installa software solo da store ufficiali o fonti di fiducia.
Se sospetti un'infezione: disattiva Accessibilità sospette, spegni Wireless Debugging, cambia password critiche da un altro dispositivo e valuta un reset di fabbrica se i sintomi persistono.