Em 28 de setembro de 2026, a empresa de segurança Cleafy publicou uma análise segundo a qual o painel mais recente do trojan bancário RatHat usa o Gemini para estimar saldos bancários a partir de mensagens SMS coletadas de aparelhos infectados e priorizar quais dispositivos recebem atenção dos operadores. A análise também descreve um uso distinto do Gemini no próprio celular, para ajudar o malware a navegar por interfaces.
O que o painel do RatHat faz com o Gemini
Segundo a análise, o painel usa mensagens SMS já coletadas para estimar saldos bancários e classificar aparelhos em grupos de valor alto ou médio. A função descrita é ordenar dispositivos para orientar a atenção dos operadores. Nas amostras examinadas, o Gemini não foi usado para movimentar dinheiro.
Gemini também no aparelho infectado
O RatHat também chama o Gemini a partir do aparelho infectado quando a automação armazenada não consegue lidar com uma interface. Nesse caso, o modelo ajuda a localizar controles na tela ou interpretar textos da interface. Esse uso serve à navegação no aparelho; a estimativa de saldos e a classificação dos dispositivos acontecem no painel.
Três gerações de painel e quase 100 implantações
A análise descreve três gerações recentes de painel, derivadas de uma base de código comum: BlackCat Remote Control Management, Panda Workshop V5 e Panda Workshop V6. Amostras anteriores do RatHat foram associadas ao painel Fisher, separado dessa linha. Embora os painéis tenham evoluído, o implante do RatHat mudou pouco entre o fim de 2025 e setembro de 2026.
Desde abril de 2026, a análise contabiliza quase 100 implantações separadas de consoles. A estimativa conta implantações de painéis; não corresponde a uma contagem de celulares infectados.
Acesso e controle no Android
A análise relata que o RatHat obtém acesso no nível do shell do Android depois que o acesso à Acessibilidade é concedido e a depuração sem fio é ativada. Um serviço Go separado é implantado somente após uma ação do operador.
As ferramentas de controle de tela minicap e minitouch não funcionam no Android 14 ou posterior, segundo a análise. Ela também descreve um método alternativo de captura de tela que opera a cerca de cinco quadros por segundo.
