Inteligența artificială a ajuns să le arate hackerilor cine are cei mai mulți bani în cont

Un malware bancar pentru Android folosește Gemini nu doar ca instrument tehnic, ci și pentru a decide ce victime merită „prioritate". Programul malițios, numit RatHat, poate analiza date furate de pe telefoanele infectate și poate estima care utilizatori ar avea cele mai mari sume în conturi.

Cercetătorii de la Cleafy spun că AI-ul nu mută direct banii și nu execută singur furtul. Rolul său este să sorteze victimele și să le indice operatorilor ce telefoane par mai valoroase, pe baza informațiilor colectate din SMS-uri și din ecrane false de autentificare.

RatHat poate trimite datele strânse către Gemini, care estimează soldul probabil al victimei și o clasifică apoi într-o categorie de valoare ridicată sau medie. Practic, atacatorii folosesc inteligența artificială ca pe un filtru care îi ajută să își concentreze atenția asupra persoanelor cu potențial financiar mai mare.

Infrastructura din spatele malware-ului este la fel de importantă ca programul instalat pe telefon. Cleafy a identificat aproape 100 de implementări ale consolei de control începând din aprilie 2026, ceea ce sugerează că RatHat este oferit sub forma unui serviciu pentru mai mulți operatori.

Consola poate construi și semna aplicația infectată, o poate ascunde într-o aplicație aparent legitimă și apoi o poate distribui automat. Operatorii pot chiar să genereze periodic versiuni noi ale fișierului, inclusiv o dată pe oră, pentru a îngreuna detectarea bazată pe semnătura fișierului.

RatHat este distribuit prin SMS-uri și reclame care trimit către pagini de unde utilizatorii descarcă un APK infectat. După instalare, malware-ul încearcă să obțină acces extins la sistem folosind funcțiile de accesibilitate Android și Wireless Debugging.

Odată obținut acest acces, atacatorii pot vedea ecranul telefonului și pot trimite comenzi de atingere de la distanță. Pe anumite versiuni Android, RatHat încearcă inclusiv să evite ferestrele obișnuite de confirmare pentru capturarea ecranului.

Gemini mai este folosit și direct pe dispozitiv. Dacă malware-ul întâlnește un telefon sau o versiune Android pe care nu o recunoaște, poate trimite structura interfeței către modelul AI și îi poate cere să stabilească unde trebuie apăsat pentru a continua configurarea.