Analiza Cleafy z 28 września 2026 r. opisuje, jak najnowsza konsola malware’u RatHat ma wykorzystywać Gemini do szacowania sald bankowych na podstawie SMS-ów zebranych z zainfekowanych urządzeń. Następnie porządkuje urządzenia w grupy o wysokiej i średniej wartości dla operatora. To funkcja oceny i priorytetyzacji, nie wykonywania przelewów.

Jak konsola RatHat szacuje salda

RatHat to trojan bankowy na Androida. Według analizy konsola odczytuje wiadomości SMS zebrane wcześniej z zainfekowanych telefonów, a Gemini pomaga oszacować na ich podstawie saldo bankowe. Wynik służy do ustalenia, którym urządzeniom operator ma poświęcić uwagę.

W próbkach przeanalizowanych przez Cleafy Gemini nie wykonywało przelewów. Opisana funkcja konsoli kończy się na szacowaniu salda i porządkowaniu urządzeń według ich potencjalnej wartości.

Dwa różne zastosowania Gemini

Konsola używa Gemini do oceny urządzeń, a sam RatHat może wywoływać model również na zainfekowanym telefonie. W tym drugim przypadku ma on pomagać w odnajdywaniu elementów interfejsu lub odczytywaniu tekstu na ekranie, gdy zapisana automatyzacja nie działa.

To odrębna funkcja: na urządzeniu Gemini wspiera nawigację po interfejsie, a w konsoli pomaga szacować salda i ustalać priorytety. Analiza opisuje oba zastosowania jako elementy RatHat.

Wersje konsoli i skala wdrożeń

Cleafy opisuje trzy generacje konsoli wywodzące się ze wspólnej bazy kodu: BlackCat Remote Control Management, Panda Workshop V5 i Panda Workshop V6. Wcześniejszy panel Fisher był odrębną wersją. W opisywanych próbkach sam implant RatHat zmienił się niewiele od końca 2025 r. do września 2026 r.

Od kwietnia 2026 r. Cleafy śledziło niemal 100 odrębnych wdrożeń konsol. Ta liczba dotyczy wdrożeń panelu; nie określa liczby zainfekowanych telefonów ani osób.

Ograniczenia kontroli na Androidzie

Według analizy RatHat uzyskuje dostęp na poziomie powłoki Androida po przyznaniu uprawnienia do ułatwień dostępu i włączeniu debugowania bezprzewodowego. Cleafy podaje też, że narzędzia minicap i minitouch nie działają na Androidzie 14 ani nowszym.