El 28 de septiembre de 2026, Cleafy publicó un análisis que describe cómo la consola más reciente del troyano bancario RatHat usaría Google Gemini para estimar saldos bancarios a partir de SMS ya recopilados y ordenar los dispositivos infectados por valor estimado. El malware también recurriría a Gemini desde el teléfono para ayudar a navegar por interfaces cuando falla la automatización guardada.

La consola estima saldos para ordenar dispositivos

Según el análisis de Cleafy, la función de la consola toma como punto de partida los mensajes SMS recopilados previamente en los dispositivos infectados. Gemini ayudaría a estimar los saldos bancarios y la consola clasificaría los dispositivos en grupos de valor alto y medio, para orientar la atención de los operadores.

La función descrita sirve para priorizar objetivos. En las muestras analizadas, Cleafy no observó que Gemini se empleara para mover dinero.

Gemini también ayuda a navegar desde el móvil

RatHat tiene además una función distinta que puede llamar a Gemini desde el dispositivo infectado. Cuando falla la automatización guardada para una interfaz, el modelo ayuda a localizar controles o interpretar texto en pantalla. Para ello, el malware puede enviar información sobre la estructura de la pantalla.

Este uso desde el teléfono tiene un propósito diferente al de la consola: ayudar a navegar por una interfaz, no estimar saldos para clasificar dispositivos.

Tres generaciones de consolas y casi 100 despliegues

Cleafy describe tres generaciones recientes de la consola, derivadas de un mismo código base: BlackCat Remote Control Management, Panda Workshop V5 y Panda Workshop V6. Fisher aparece en el análisis como una consola anterior, separada de esa línea. Mientras las consolas fueron cambiando, el implante de RatHat apenas varió entre finales de 2025 y septiembre de 2026.

En el análisis publicado el 28 de septiembre, Cleafy cifró en casi 100 los despliegues de consolas observados desde abril de 2026. La cifra cuenta consolas, no teléfonos ni personas infectadas. Cleafy vinculó la actividad observada con Europa, Latinoamérica y el Sudeste Asiático.

El contexto técnico en Android

Cleafy describe que RatHat obtiene acceso de nivel shell después de que se concede el acceso a Accesibilidad y se habilita la depuración inalámbrica. El servicio Go se despliega tras una acción del operador. El análisis también señala que las herramientas minicap y minitouch para controlar la pantalla no funcionan en Android 14 ni en versiones posteriores.