De nieuwste versie van de RATHat-malware is een geavanceerde bedreiging die Android-toestellen kan overnemen met behulp van kunstmatige intelligentie, specifiek Gemini AI. Deze malware gaat verder dan de gebruikelijke app-permissies door misbruik te maken van toegankelijkheidsrechten. Dit stelt de malware in staat om diepere controle over geïnfecteerde telefoons te verkrijgen, met aanzienlijk grotere risico's dan bij eerdere RATHat-aanvallen die gericht waren op bankgegevens.

Een cruciaal onderdeel van deze aanval is het misbruik van de Android Debug Bridge (ADB), een functie voor ontwikkelaars. Nadat de malware toegankelijkheidsrechten heeft verkregen, navigeert deze door de telefooninstellingen om draadloze debugging in te schakelen. Vervolgens leest de malware de koppelingscode die op het scherm verschijnt. Hierna maakt de malware verbinding met de lokale ADB-service, wat resulteert in toegang met de rechten van de shell-gebruiker (UID 2000). Dit type misbruik van draadloze debugging is eerder waargenomen bij de ToxicPanda-malware en onderstreept de veiligheidszorgen rond deze ontwikkelaarsfunctie, die verder reiken dan het standaard stelen van inloggegevens.

Wanneer de malware moeite heeft met het vinden van specifieke besturingselementen, bijvoorbeeld door onbekende fabrikant-interfaces, Android-versies of talen, stuurt het een beschrijving van de huidige interface naar Gemini AI. De AI-service retourneert vervolgens coördinaten of tekst die helpt bij het interpreteren van onbekende labels. Dit maakt adaptieve navigatie mogelijk, waarbij rigide scherminstructies worden vervangen door antwoorden van het AI-model. Deze techniek omzeilt aangepaste engineering en verlaagt de drempel voor geautomatiseerde aanvallen. Specifiek zorgt een AI-functie op het apparaat ervoor dat de koppeling voor draadloze debugging blijft functioneren, zelfs wanneer standaard tekstherkenning faalt.

De malware maakt gebruik van Gemini Flash-modellen, die direct vanaf de telefoon worden benaderd met behulp van een sleutel uit de malwareconfiguratie. Hoewel er nog geen monsters zijn gevonden waarbij AI-geleide navigatie werd gebruikt om frauduleuze overschrijvingen te voltooien, zou dit in de toekomst de noodzakelijke aangepaste engineering voor geautomatiseerde bankaanvallen aanzienlijk kunnen verminderen.

Na een succesvolle koppeling kan een operator met één klik een aparte service implementeren. Deze service, geschreven in Go, draait onafhankelijk van de oorspronkelijke applicatie en start een lokale HTTP-server op poort 7912. Via een reverse tunnel blijft deze service bereikbaar voor de infrastructuur van de aanvaller.

Deze afzonderlijke service is in staat om scherminhoud vast te leggen en aanrakingen te simuleren met behulp van Android-testtools, zonder dat de gebruiker hier een melding of indicator van ziet. Deze tools werken echter niet op Android 14 en latere versies; nieuwere apparaten vereisen app-gebaseerde opname met toestemming van de gebruiker. Gedownloade testtools laten herkenbare bestandsnamen achter in de tijdelijke implementatiemap, wat artefacten creëert die onderzoekers kunnen gebruiken bij een vermoedelijke compromis.

De banking trojan maakt gebruik van een ontwikkelaarsfunctie om een apart commandokanaal op te zetten. Dit kanaal kan operationeel blijven, zelfs na het verwijderen van de malafide applicatie, totdat de telefoon opnieuw wordt opgestart. Het verwijderen van de zichtbare app beëindigt de onafhankelijke service dus niet onmiddellijk, wat een belangrijk aandachtspunt is.

De aanvallers verspreiden de malware via malafide advertenties en phishing-tekstberichten, gericht op Europa, Latijns-Amerika en Zuidoost-Azië. Eerdere campagnes gebruikten cryptocurrency-handel en volwassen entertainment als lokmiddel.

Het commandopaneel van de malware is geëvolueerd van BlackCat naar Panda Workshop V5 en V6. Versie V5 introduceerde tweefactorauthenticatie voor operators en een AI-balansscore-widget. V6 versleutelde de frontend-code, voegde templates toe voor phishing-downloadpagina's en consolideerde de AI-instellingen rond Gemini. Operators kunnen via dit paneel malafide apps bouwen, verpakken, ondertekenen en publiceren.

Geplande herbouwprocessen produceren nieuwe bestanden, terwijl het onderliggende implantaat ongewijzigd blijft. Dit stelt campagnes in staat om detectiemethoden te ontwijken die gebaseerd zijn op het herkennen van eerder vastgelegde bestandshashes.

Valse apps verleiden slachtoffers om de malafide applicatie toegankelijkheidsrechten (Accessibility access) te verlenen. Naast externe controle biedt het commandopaneel toegang tot gestolen berichten, inloggegevens, contacten, foto's en bestanden. Valse schermen die over doelgerichte apps worden geplaatst, onderscheppen ingevoerde informatie.

Een aparte AI-functie analyseert verzamelde sms-berichten om de banktegoeden van slachtoffers in te schatten en apparaten op waarde te rangschikken. Dit helpt de operators bij het selecteren van hun doelen, in plaats van dat zij zelf fraude plegen.

Onderzoekers van Cleafy identificeerden drie generaties van het operatorpaneel van de malware tussen april 2026 en september 2026. Samples uit eind 2025, februari 2026 en recente campagnes vertoonden een vergelijkbaar ontwerp, terwijl de onderliggende infrastructuur aanzienlijk veranderde. Sinds april 2026 zijn er bijna 100 afzonderlijke implementaties van de malware waargenomen.

Licentiebeperkingen en parallelle campagnes duiden op een malware-as-a-service model, wat suggereert dat niet één centrale groep elke implementatie beheert.

Het wordt aangeraden om activiteiten die worden uitgevoerd als UID 2000 te monitoren en beveiligingscontroles uit te breiden buiten de standaard permissies en levenscyclus van de applicatie.