RatHat Android Malware Console Uses Gemini to Identify Higher-Value Victims
The Hacker News · 28 sept, 19:38
Qué hacer: Bloquea el acceso a los dominios C2 (chunhuating[.]best, xiongmaocs[.]pics, rathat[.]live) y desinstala cualquier aplicación sospechosa descargada de sitios de terceros; revoca el acceso de Accesibilidad a aplicaciones no confiables.
El malware bancario RatHat para Android utiliza la API de Google Gemini en su consola de control para estimar el saldo bancario de las víctimas a partir de mensajes de texto interceptados, clasificándolas en grupos de alto y bajo valor. Cleafy ha identificado casi 100 despliegues de la consola desde abril de 2026 en un modelo de malware-as-a-service, donde cada cliente ejecuta su propia copia. El troyano se instala mediante mensajes de texto y anuncios, solicitando acceso de Accesibilidad para habilitar depuración inalámbrica y obtener control de shell sobre el dispositivo.
La infraestructura del malware ha evolucionado significativamente desde finales de 2025, pasando de la consola Fisher a tres nuevas versiones (BlackCat Remote Control Management, Panda Workshop V5 y V6) entre abril y septiembre de 2026. Cada consola funciona también como herramienta de compilación, permitiendo a los operadores construir el malware, ocultarlo en aplicaciones inofensivas, firmarlo y publicarlo en Amazon S3 o servidores web. La consola reconstruye automáticamente la aplicación según un calendario (por ejemplo, cada hora) para evitar detección basada en hash de archivos.
El acceso a los dispositivos infectados se logra mediante Accessibility access, que permite al malware habilitar Android Debug Bridge (ADB) sin intervención del usuario. Desde la consola, los operadores pueden ejecutar una shell como usuario de Android (UID 2000) con un solo clic, accediendo a través de un túnel inverso. La última versión de Gemini se utiliza exclusivamente en la consola para clasificar víctimas según valor estimado. El malware también emplea Gemini en el propio dispositivo para determinar dónde tocar la pantalla cuando sus instrucciones predefinidas fallan, enviando la disposición de la pantalla a la IA. Casi la mitad de las direcciones IP observadas pertenecen a una red registrada en Singapur (AS4907).
Puntos clave
- Consola de control con soporte para construir, firmar y publicar variantes del malware automáticamente
- Gemini se utiliza para estimar saldo bancario de víctimas y priorizarlas por valor
- El malware obtiene shell de Android mediante ADB después de solicitar Accessibility access
- Versiones actuales (Panda Workshop V5/V6) no funcionan completamente en Android 14 y posterior
- Indicadores disponibles: dominios admin.chunhuating[.]best, admin.xiongmaocs[.]pics, admin.rathat[.]live y direcciones IP de C2
Figuras de la fuente
