Il malware Android RatHat, presentato dai ricercatori di Zimperium zLabs il 15 settembre 2026, è già arrivato in Italia. La conferma è del CERT-AGID, che nella settimana 12-18 settembre lo ha intercettato in una campagna SMS a tema banking distribuita insieme al trojan italiano BingoMod.
Come funziona il trojan Android che si guida da solo
RatHat viene consegnato come file APK esterno al Play Store, tramite smishing, malvertising e portali di phishing camuffati da app note. Una volta installato sfrutta il permesso di Accessibilità per attivare da solo le Opzioni Sviluppatore e il Wireless Debugging, ottenendo una shell locale con privilegi elevati senza bisogno di un computer collegato via cavo. Da lì il trojan installa due agenti nativi in Go, liblocal-service.so e libmedia_codec.so, che aprono un canale reverse-proxy verso i server degli attaccanti e mantengono la persistenza anche se l'utente prova a disinstallare l'app principale.
La firma che rende RatHat diverso dai trojan bancari precedenti è il motore di automazione pilotato da un LLM: il codice serializza l'albero della UI Android in XML, lo invia a un assistente remoto e riceve indietro le coordinate dei pulsanti da premere insieme a comandi come SCROLL_DOWN. Rispetto agli script rigidi a coordinate fisse, questa architettura si adatta a interfacce che cambiano tra un aggiornamento e l'altro dell'app bancaria. Per ostacolare gli analisti, Zimperium documenta anche un manifest Android da 61 MB pieno di chunk non standard che manda in crash i decompilatori.
Il dato italiano che nessun competitor ha collegato
Nella stessa settimana della scoperta il CERT-AGID ha analizzato 191 campagne malevole con obiettivi italiani, distribuendo agli enti accreditati 1498 indicatori di compromissione. Il tema banking ha alimentato 25 campagne di phishing contro clienti di Intesa Sanpaolo, ING, Poste Italiane, PayPal, Nexi, Klarna, Banca Ifis, Inbank, Findomestic e Scalapay. In questo perimetro la sintesi settimanale CERT-AGID 12-18 settembre 2026 classifica RatHat come campagna generica veicolata via SMS con link a un APK malevolo per Android, insieme all'italiano BingoMod.
Il dettaglio conta perché ribalta il frame usato dai media tecnologici, che presentano RatHat come un caso di studio o come una minaccia asiatica ancora lontana. L'infrastruttura di distribuzione italiana era invece già operativa nella stessa finestra in cui Zimperium pubblicava l'analisi tecnica, con l'esca classica del finto messaggio da istituto di credito che invita a scaricare un'app di sicurezza. L'SMS arriva con il nome del brand bancario, il link porta a una pagina che imita la grafica ufficiale e propone il download dell'APK: l'utente autorizza l'installazione da fonti sconosciute e concede il permesso di Accessibilità pensando di stare aggiornando l'app della propria banca.
Cosa cambia per chi usa Android in università e a scuola
Circa tre smartphone su quattro venduti in Italia usano Android, e per una parte crescente del pubblico universitario il dispositivo mobile è l'unico strumento con cui si accede al conto corrente, alle credenziali di ateneo e alle app di pagamento istantaneo. Un trojan che si automatizza con un modello linguistico riduce drasticamente il tempo che serve all'attaccante per svuotare un conto: l'assistente AI naviga da solo l'interfaccia dell'app bancaria e digita gli OTP intercettati via SMS, senza bisogno di un operatore umano in tempo reale. Le schermate sovrapposte in HTML sostituiscono la vera interfaccia di home banking, quindi la vittima vede una copia grafica dell'app della propria banca e digita credenziali che finiscono direttamente sul server dell'attaccante.
Le contromisure restano quelle di sempre e vanno pretese anche in laboratorio e in segreteria: non installare mai APK fuori dal Play Store, non concedere il permesso di Accessibilità ad app non riconosciute, mantenere Play Protect attivo. Chi ha un Android fermo a versioni vecchie ha una superficie di attacco più ampia: il cutoff di WhatsApp su Android Lollipop è un buon promemoria del fatto che gli aggiornamenti di sistema non sono opzionali.
Il CERT-AGID pubblica ogni lunedì una nuova sintesi delle campagne malevole della settimana precedente. Chi gestisce dispositivi condivisi in laboratorio o in segreteria dovrebbe iscriversi al feed IoC per bloccare a monte i domini di distribuzione prima che gli SMS arrivino agli utenti finali.