RatHat: Android-троян с ИИ Gemini для отбора ценных жертв

Исследователи в области кибербезопасности из компании Cleafy раскрыли подробности работы RatHat — вредоносной платформы, ориентированной на Android-устройства. Операторы RatHat не только разрабатывают и публикуют банковский троян, но и управляют заражёнными телефонами через веб-консоль, что делает атаки масштабируемыми и относительно простыми в администрировании. Как отмечают в Cleafy, с апреля 2026 года было отслежено почти 100 развёртываний консоли RatHat. Такая модель распространения укладывается в схему malware-as-a-service (MaaS), при которой каждый клиент получает отдельную копию вредоносного инструмента и управляет ею самостоятельно. Это снижает порог входа для злоумышленников и позволяет тиражировать атаки без необходимости глубоких технических знаний.

Подробности

Консоль RatHat выполняет функции командного центра: она аккумулирует данные, которые троян собирает с каждого заражённого телефона. Это могут быть перехваченные учётные данные, коды двухфакторной аутентификации, сведения о банковских приложениях и другая чувствительная информация. Наличие централизованной панели управления позволяет операторам одновременно контролировать множество устройств и распределять задачи между «клиентами» платформы. Ключевая особенность RatHat — интеграция с ИИ-моделью Gemini. Согласно данным Cleafy, она применяется для анализа собранных данных и выявления среди заражённых пользователей тех, кто представляет наибольшую ценность. Это позволяет злоумышленникам приоритизировать атаки: вместо массовой обработки всех устройств они фокусируются на жертвах с более высокими балансами, доступом к корпоративным ресурсам или активными банковскими операциями. Точные версии трояна, список затронутых банковских приложений и идентификаторы CVE в исходном сообщении не приводятся. Cleafy не раскрывает и конкретные страны или регионы, где зафиксированы развёртывания, однако сама схема MaaS с ИИ-аналитикой указывает на то, что угроза носит международный характер и может затрагивать пользователей в разных юрисдикциях.

Что делать

Для снижения рисков, связанных с Android-банковскими троянами, подобными RatHat, рекомендуется: - Устанавливать приложения только из официальных магазинов — Google Play или проверенных корпоративных каталогов. Сторонние APK-файлы остаются основным каналом распространения банковских троянов. - Внимательно проверять запрашиваемые разрешения. Если приложение просит доступ к Accessibility Service, SMS или уведомлениям без очевидной необходимости, это тревожный признак. - Регулярно обновлять операционную систему и приложения, закрывая известные уязвимости. - Использовать мобильные решения класса anti-fraud и EDR, способные выявлять аномальное поведение приложений и перехват данных. - Включить MFA там, где это возможно, и отдавать предпочтение аппаратным ключам или push-подтверждениям вместо SMS-кодов, которые троян может перехватить. - Проводить обучение сотрудников, если устройства используются в корпоративной среде: фишинговые ссылки и поддельные банковские приложения остаются основным вектором заражения. Организациям, чьи сотрудники используют Android-устройства для доступа к корпоративным сервисам, стоит рассмотреть внедрение MDM-решений и политик, запрещающих установку приложений из неизвестных источников. Это не гарантирует полную защиту, но существенно сужает поверхность атаки. Итог: RatHat демонстрирует, как злоумышленники объединяют модель malware-as-a-service с возможностями генеративного ИИ, чтобы повышать эффективность атак. Компаниям и пользователям важно учитывать, что современные Android-трояны не просто крадут данные, а анализируют их для выбора наиболее ценных целей.

Источник: The Hacker News