RatHat Android dùng Gemini để ưu tiên nạn nhân có giá trị cao
"Cleafy reported that RatHat Android banking trojan operators are using a web-based malware console to build, sign, and deploy infected apps, with nearly 100 console deployments observed since April 2026. The latest console versions use Google's Gemini to estimate victim bank balances and prioritize higher-value targets, while the malware also uses Gemini on-device to help maintain wireless debugging and control; no CVE is mentioned, and the article does not describe a patch or vendor fix."
Rủi ro đánh cắp thông tin ngân hàng và chiếm quyền điều khiển thiết bị; cơ chế ADB/wireless debugging làm tăng mức độ xâm nhập.
Có thể gây mất dữ liệu đăng nhập, gian lận tài chính và tăng chi phí ứng phó sự cố; ảnh hưởng mạnh tới người dùng di động và bộ phận hỗ trợ.
Theo Cleafy, nhóm vận hành RatHat Android banking trojan đang dùng một web console để xây dựng, ký và triển khai ứng dụng nhiễm mã độc. Từ tháng 4/2026 đến nay, hãng ghi nhận gần 100 lần triển khai console, phù hợp với mô hình malware-as-a-service khi mỗi khách hàng có một bản riêng.
Console lưu dữ liệu thu thập từ thiết bị, gồm SMS và mật khẩu nhập vào các màn hình đăng nhập giả. Ở phiên bản mới, hệ thống dùng Google Gemini để ước lượng số dư ngân hàng từ nội dung tin nhắn, rồi phân loại nạn nhân thành nhóm giá trị cao và trung bình. Cleafy cho biết Gemini không được dùng để chuyển tiền, mà để xác định mục tiêu đáng ưu tiên.
Trên thiết bị, mã độc lạm dụng Accessibility, bật wireless debugging và kết nối ADB để có shell ngoài quyền của ứng dụng. Một thành phần Go có thể duy trì truy cập qua reverse tunnel, chụp màn hình và gửi thao tác chạm mà không hiện biểu tượng ghi hình trên một số phiên bản Android.
Khuyến nghị: kiểm soát cài đặt từ nguồn ngoài, giám sát quyền Accessibility/ADB, chặn sideloading không cần thiết và rà soát các chỉ báo hạ tầng C2 do nhà nghiên cứu công bố.