Inteligența artificială le spune hackerilor cine are cei mai mulți bani în cont. Cum este folosită de noul malware Android

Este vorba despre RatHat, un troian bancar pentru Android analizat de cercetătorii de la Cleafy. Noua analiză arată că infrastructura din spatele malware-ului integrează Google Gemini pentru a estima soldurile bancare ale victimelor și pentru a le clasifica în funcție de valoarea potențială pentru atacatori, scrie The Hacker News.

Important este că Gemini nu efectuează în mod direct furtul banilor. În mostrele analizate de Cleafy, inteligența artificială are mai degrabă rolul unui instrument de selecție, care îi ajută pe operatori să decidă asupra căror telefoane să-și concentreze atenția.

Gemini devine filtrul prin care hackerii își aleg victimele

RatHat poate colecta informații de pe telefoanele infectate, inclusiv SMS-uri și date introduse de utilizatori în ecrane false de autentificare afișate peste aplicații bancare.

Aceste informații ajung în consola de control folosită de operatori. În versiunea analizată de Cleafy, consola poate apela Gemini pentru a estima soldul bancar al unei victime pe baza mesajelor colectate.

După această analiză, dispozitivele sunt împărțite în categorii de valoare, precum victime cu valoare ridicată sau medie. Practic, inteligența artificială funcționează ca un filtru care îi ajută pe atacatori să stabilească ce telefoane merită urmărite cu prioritate.

Cleafy subliniază că acest mecanism nu înseamnă că Gemini transferă bani sau execută singur operațiuni bancare. Modelul este folosit pentru analiza informațiilor deja colectate și pentru prioritizarea victimelor.

Malware-ul poate controla telefonul printr-o combinație de Accessibility și Wireless Debugging

RatHat nu se bazează doar pe furtul de informații. Malware-ul încearcă să obțină un nivel ridicat de control asupra dispozitivului Android.

Distribuirea se face prin SMS-uri și reclame care îi direcționează pe utilizatori către pagini de unde pot descărca aplicații infectate în format APK. În unele cazuri, aplicația malițioasă este ascunsă în spatele unei aplicații care pare legitimă. Cercetările anterioare asupra RatHat au identificat distribuirea prin reclame malițioase, SMS-uri și site-uri de phishing.

După instalare, malware-ul încearcă să obțină acces prin funcțiile de accesibilitate ale Android. De acolo, poate automatiza acțiuni în sistem și poate activa Wireless Debugging.

Prin folosirea Android Debug Bridge, cunoscut sub abrevierea ADB, RatHat poate ajunge la un nivel de control asociat în mod normal operațiunilor de dezvoltare și depanare. Cercetătorii au descris această tehnică drept una dintre componentele importante ale arhitecturii malware-ului.

Gemini este folosit și direct pe telefonul infectat

Utilizarea inteligenței artificiale nu se limitează la consola atacatorilor.

Cleafy a descoperit că RatHat poate apela Gemini și direct de pe dispozitiv. Atunci când malware-ul întâlnește un telefon, o versiune Android, o interfață sau o limbă pe care nu le recunoaște prin automatizările prestabilite, poate trimite către model structura interfeței și îi poate cere să identifice elementul asupra căruia trebuie efectuată următoarea acțiune.

Modelul poate identifica poziția unui element de interfață sau poate ajuta la interpretarea textului afișat pe ecran. În acest fel, malware-ul nu mai depinde în totalitate de instrucțiuni fixe programate în prealabil.

Această utilizare a AI îi permite RatHat să se adapteze la interfețe Android diferite și la situații pentru care autorii malware-ului nu au introdus manual toate coordonatele și instrucțiunile necesare. BleepingComputer a relatat anterior despre această componentă a RatHat, descriind sistemul drept un mecanism AI de automatizare a interfeței.

Aproape 100 de console identificate de cercetători

O altă parte importantă a analizei Cleafy privește infrastructura din spatele RatHat.

Cercetătorii au identificat aproape 100 de implementări ale consolei de control începând din aprilie 2026. Numărul se referă la implementări ale consolei și nu la numărul de telefoane infectate sau la numărul victimelor. Cleafy consideră că amploarea infrastructurii este compatibilă cu un model de tip Malware-as-a-Service, în care diferiți operatori folosesc propriile instanțe ale platformei.

Consola nu servește doar pentru monitorizarea telefoanelor compromise. Ea funcționează și ca un instrument prin care atacatorii pot construi și distribui noi variante ale malware-ului.

Potrivit cercetătorilor, platforma poate construi, semna și publica aplicații infectate. RatHat poate fi ascuns într-o aplicație aparent legitimă, iar procesul de creare a unor noi variante poate fi automatizat.

Aplicația infectată poate fi reconstruită chiar și din oră în oră

Una dintre funcțiile identificate de Cleafy este posibilitatea de a genera periodic noi versiuni ale fișierului infectat.

Consola poate reconstrui aplicația după un program stabilit de operator, inclusiv la intervale foarte scurte. Astfel, același malware poate apărea sub forma unor fișiere diferite, ceea ce îngreunează detectarea bazată exclusiv pe semnătura sau hash-ul fișierului.

Analiza Cleafy arată că malware-ul instalat pe telefoane s-a modificat relativ puțin din perioada de la sfârșitul anului 2025 până în septembrie 2026. În schimb, infrastructura de comandă și control din spatele acestuia a trecut prin mai multe generații și a primit funcții noi.

RatHat fură date din aplicațiile bancare și SMS-uri

RatHat este conceput pentru a colecta informații care pot fi folosite în atacuri asupra conturilor financiare.

Printre datele pe care malware-ul le poate intercepta se numără SMS-urile, inclusiv mesajele care pot conține coduri de autentificare, precum și informațiile introduse de utilizatori în ecrane false de autentificare.

Cercetările publicate anterior de Zimperium și relatate de BleepingComputer arată că malware-ul poate afișa interfețe false peste aplicații bancare și poate captura date de autentificare. De asemenea, poate intercepta SMS-uri și notificări și poate colecta informații legate de coduri de acces.

Aceste date sunt relevante și pentru noua funcție bazată pe Gemini, deoarece modelul poate folosi informațiile deja colectate pentru a estima valoarea financiară a victimei.

De la controlul telefonului la selecția victimelor

Cercetarea Cleafy evidențiază o schimbare importantă în modul în care este folosită inteligența artificială în această operațiune.

AI-ul nu este prezent doar pentru a face malware-ul mai flexibil din punct de vedere tehnic. El este integrat și în partea de analiză a datelor colectate de la victime.

Astfel, RatHat combină două utilizări distincte ale Gemini: pe telefonul infectat, modelul poate ajuta malware-ul să navigheze prin interfață atunci când automatizarea prestabilită nu funcționează, iar în consola atacatorilor poate analiza datele colectate pentru a estima soldul bancar și a clasifica dispozitivele după valoarea potențială.

The Hacker News notează, pe baza analizei Cleafy, că mostrele examinate nu arată că Gemini ar fi folosit pentru transferul efectiv al banilor. Rolul său este cel de instrument care îi ajută pe operatori să stabilească ce victime merită timpul și atenția lor.

Cercetătorii avertizează asupra unei noi direcții pentru malware

RatHat a atras atenția cercetătorilor și prin modul în care combină controlul de la distanță al dispozitivului cu funcțiile de inteligență artificială.

BleepingComputer a relatat în septembrie despre componenta AI care permite malware-ului să interpreteze structura interfeței Android și să stabilească unde trebuie să acționeze.

Analiza ulterioară a Cleafy arată că aceeași operațiune folosește AI și pentru analiza victimelor. În loc ca operatorii să verifice manual toate datele colectate și să încerce să stabilească ce dispozitive prezintă cel mai mare interes financiar, consola poate utiliza Gemini pentru această etapă de triere.

Pentru utilizatorii Android, cercetările publicate despre RatHat evidențiază riscul instalării aplicațiilor APK provenite din surse necunoscute și al acordării permisiunilor de accesibilitate unor aplicații care nu au nevoie în mod evident de acestea. BleepingComputer notează că Google a declarat că, pe baza detecțiilor sale de la momentul respectiv, aplicațiile care conțineau malware-ul nu erau disponibile în Google Play, iar dispozitivele cu Google Play Services beneficiau de protecția Play Protect împotriva versiunilor cunoscute.