Une analyse publiée le 28 septembre 2026 rapporte que la console la plus récente de RatHat, un cheval de Troie bancaire pour Android, utiliserait Gemini pour estimer des soldes bancaires à partir de SMS collectés sur des appareils infectés, puis classer ces appareils selon leur valeur estimée. Dans les échantillons examinés, Gemini n’est pas utilisé pour transférer de l’argent : la fonction décrite sert à orienter l’attention des opérateurs.

La console estime les soldes à partir des SMS

Le classement rapporté repose sur des messages SMS déjà collectés sur les téléphones infectés. La console répartit les appareils entre des groupes de valeur élevée et moyenne, afin de signaler aux opérateurs ceux qu’ils pourraient juger prioritaires. Il s’agit d’une estimation, pas d’un transfert effectué par Gemini.

L’analyse précise que les échantillons étudiés n’utilisent pas Gemini pour déplacer de l’argent. La fonction décrite concerne l’estimation des soldes et le tri des appareils ; elle ne correspond pas à une transaction bancaire.

Gemini intervient aussi sur l’appareil

RatHat ferait également appel à Gemini depuis l’appareil infecté lorsque l’automatisation enregistrée ne parvient pas à gérer une interface. Le modèle aiderait alors à repérer des commandes ou à interpréter le texte affiché à l’écran.

Cet usage concerne la navigation dans les interfaces. Il est distinct du classement financier effectué depuis la console : l’un aide le logiciel malveillant à s’adapter à un écran, l’autre à organiser les appareils selon les soldes estimés.

Près de 100 déploiements de consoles depuis avril 2026

L’analyse estime à près de 100 le nombre de déploiements distincts de consoles suivis depuis avril 2026. Les trois générations récentes décrites sont BlackCat Remote Control Management, Panda Workshop V5 et Panda Workshop V6, issues d’une même base de code. Des échantillons plus anciens étaient associés à une console différente, Fisher.

Les consoles ont évolué tandis que l’implant RatHat — le composant malveillant installé sur l’appareil — est décrit comme ayant peu changé entre la fin de 2025 et septembre 2026.

Le contexte technique sur Android

Dans le fonctionnement décrit, l’accès aux services d’accessibilité et le débogage sans fil jouent un rôle dans l’obtention d’un accès de niveau shell sur Android. Les outils de contrôle d’écran minicap et minitouch ne fonctionnent pas sous Android 14 et les versions ultérieures, selon l’analyse. Une méthode de capture d’écran de secours y est également décrite, à environ cinq images par seconde.