Un malware Android folosește Gemini pentru a găsi victimele cu cei mai mulți bani în cont

Un troian bancar pentru Android a început să folosească AI nu doar pentru automatizarea atacurilor, ci și pentru a decide care dintre victime merită atenția infractorilor. RatHat, un malware analizat de compania de securitate Cleafy, este controlat printr-o consolă web care poate construi, semna și distribui aplicația infectată, iar cea mai nouă versiune folosește Gemini pentru a estima cât de valoroasă este o victimă.

Cleafy a identificat aproape 100 de implementări ale consolei din aprilie 2026. Numărul se referă la instalările infrastructurii de control, nu la numărul telefoanelor infectate sau al victimelor. Cercetătorii consideră că modul în care este construit sistemul indică un model de tip Malware-as-a-Service, în care clienți diferiți primesc propriile instanțe ale platformei, scrie The Hacker News.

Gemini este folosit pentru a estima banii din conturile victimelor

RatHat colectează de pe telefoanele infectate informații precum SMS-uri și date introduse în ecrane false de autentificare suprapuse peste aplicații bancare. În cea mai nouă versiune a consolei, aceste informații pot ajunge la Gemini, care este folosit pentru a estima soldul bancar al unei persoane.

Rezultatul este apoi folosit pentru clasificarea telefoanelor în categorii de valoare ridicată sau medie. Cu alte cuvinte, AI-ul nu execută transferul banilor, cel puțin în mostrele analizate de Cleafy, ci îi ajută pe operatori să decidă căror victime să le acorde prioritate.

Este o utilizare diferită a AI-ului față de scenariile în care un malware încearcă să automatizeze direct furtul. În cazul RatHat, Gemini funcționează ca un instrument de triere pentru infractorii care au deja acces la datele colectate de pe telefoane.

Cleafy a observat că prima versiune a consolei permitea operatorilor să aleagă dintre mai mulți furnizori de AI și putea trimite notificări Telegram atunci când scorul unei victime depășea un anumit prag. Cea mai nouă versiune a trecut exclusiv la Gemini și îi direcționează pe operatori către Google AI Studio pentru obținerea unei chei API.

RatHat a transformat consola într-o fabrică de malware

Malware-ul propriu-zis s-a schimbat relativ puțin de la sfârșitul lui 2025. Infrastructura din spatele său a trecut însă prin mai multe versiuni.

Vezi și:

Google Assistant dispare de pe telefoanele Android. Gemini preia complet rolul de asistent vocal

Lenovo intră într-o nouă zonă cu primul său Googlebook: laptopul de 15 inch vine cu funcții AI și ecran OLED

Cleafy a identificat o versiune mai veche numită Fisher, folosită la sfârșitul lui 2025 și în februarie 2026. Din aprilie au apărut trei generații noi, bazate pe același cod: BlackCat Remote Control Management, Panda Workshop V5 și Panda Workshop V6.

Consola nu servește doar pentru controlul telefoanelor. Operatorul poate construi malware-ul direct din interfață, îl poate ascunde într-o aplicație aparent inofensivă și îl poate semna. Platforma poate apoi publica aplicația rezultată pe Amazon S3 sau pe un server web, fără ca persoana care operează malware-ul să configureze manual infrastructura de găzduire.

Un alt mecanism permite reconstruirea automată a aplicației la intervale prestabilite, inclusiv o dată pe oră. Fiecare versiune nouă are un fișier diferit, ceea ce poate îngreuna detectarea bazată pe hash-uri. Versiunea Panda Workshop V6 include și modele pentru pagini false de descărcare, inclusiv unul care imită Google Store.

Malware-ul poate obține control extins asupra telefonului

RatHat ajunge pe telefoane prin SMS-uri și reclame online care trimit către site-uri de unde poate fi descărcat APK-ul malițios. Cercetarea publicată de Zimperium arată că malware-ul folosește apoi Android Accessibility pentru a activa Wireless Debugging și pentru a citi codul de asociere necesar conectării la Android Debug Bridge, cunoscut drept ADB.

Prin această metodă, RatHat poate obține un shell care rulează cu utilizatorul Android al sistemului, nu doar cu permisiunile obișnuite ale aplicației. Din consola operatorului, acest acces poate fi activat printr-un singur buton.

Malware-ul poate instala un program scris în Go, care rămâne accesibil printr-un tunel invers către infrastructura atacatorului. Componenta poate transmite imaginea ecranului și poate trimite comenzi de atingere. Cleafy a observat folosirea unor instrumente precum minicap și minitouch, care permit controlul ecranului fără fereastra de autorizare și fără indicatorul de înregistrare asociat capturii de ecran realizate prin mecanismele Android.

Pe Android 14 și versiunile ulterioare, aceste instrumente nu funcționează, astfel că RatHat revine la mecanismul propriu de captură a ecranului, care presupune acordarea permisiunii și afișarea indicatorului de înregistrare. Cercetătorii au identificat și o metodă de rezervă bazată pe instrumentul screencap.

RatHat folosește Gemini și direct pe telefon

Gemini apare în două locuri diferite în infrastructura RatHat. Pe lângă analiza datelor furate în consola operatorului, malware-ul poate apela modelul AI direct de pe telefonul infectat.

RatHat are instrucțiuni prestabilite pentru anumite modele de telefoane, versiuni Android și limbi. Dacă acestea nu funcționează pe un dispozitiv pe care autorii malware-ului nu l-au anticipat, aplicația trimite structura interfeței către Gemini și îi cere modelului să stabilească unde trebuie apăsat. Cheia API necesară este inclusă în configurația malware-ului. Potrivit Cleafy, această funcție este folosită pentru ca malware-ul să poată finaliza configurarea Wireless Debugging.

Tehnica nu este complet nouă. Cercetătorii ESET au documentat în februarie 2026 PromptSpy, un alt malware Android care trimitea informații despre interfața telefonului către Gemini și urma instrucțiunile primite de la model.

Un malware Android folosește Gemini pentru a găsi victimele cu cei mai mulți bani în cont