Cleafy berichtete am 28. September 2026, dass die neueste RatHat-Steuerkonsole Gemini nutzt, um aus bereits erfassten SMS mögliche Bankguthaben abzuschätzen und infizierte Android-Geräte nach ihrem vermuteten Wert zu sortieren. So sollen Betreiber erkennen, welchen Geräten sie mehr Aufmerksamkeit widmen. In den untersuchten Proben kam Gemini laut Cleafy nicht zum Einsatz, um Geld zu transferieren.

Was Gemini in der RatHat-Konsole leisten soll

Die Konsole ordnet Geräte den Gruppen „hoher“ und „mittlerer“ Wert zu. Grundlage sind SMS, die RatHat zuvor von infizierten Geräten erfasst hat; Gemini soll daraus Kontostände abschätzen. Diese Funktion dient der Priorisierung durch die Betreiber.

Zwei verschiedene Aufgaben für Gemini

Auf dem infizierten Gerät hat Gemini eine andere Rolle: Wenn die gespeicherte, gerätespezifische Automatisierung an einer unbekannten Oberfläche scheitert, soll das Modell helfen, Bedienelemente zu finden oder Bildschirmtext zu erfassen. Die Analyse beschreibt diese Navigation auf dem Gerät getrennt von der Bewertung der Geräte in der Steuerkonsole.

Konsolen-Generationen und die Zahl der Deployments

Cleafy beschreibt drei jüngere Konsolengenerationen aus einer gemeinsamen Codebasis: BlackCat Remote Control Management, Panda Workshop V5 und Panda Workshop V6. Panda Workshop V5 führte demnach ein Widget zur Bewertung potenzieller Opfer ein; Panda Workshop V6 ist die jüngste beschriebene Generation. Der RatHat-Implantatcode selbst veränderte sich laut Analyse zwischen Ende 2025 und September 2026 nur wenig.

Seit April 2026 identifizierte Cleafy knapp 100 separate Bereitstellungen der Steuerkonsole. Die Zahl bezieht sich auf Konsolen-Deployments, nicht auf infizierte Telefone oder einzelne Personen. Cleafy ordnete beobachtete Aktivitäten Europa, Lateinamerika und Südostasien zu.

Android-Zugriff und Bildschirmsteuerung

Cleafy zufolge erlangt RatHat Shell-Zugriff auf Android, nachdem der Bedienungshilfen-Zugriff gewährt und Wireless Debugging aktiviert wurde. Ein separater Go-Dienst wird demnach erst nach einer Aktion des Operators bereitgestellt.

Die Bildschirmsteuerung mit minicap und minitouch funktioniert laut Analyse unter Android 14 und späteren Versionen nicht. Als Ausweichweg beschreibt Cleafy die Bildschirmaufnahme durch die App.