RatHat安卓银行木马操控台改用Gemini筛选高价值受害者

操控台三代演进，木马本体改动不大

据Cleafy的报告指，RatHat安卓银行木马本身自2025年底起变化有限，但操作者用来控制已感染电话的网页操控台却完全更换，六个月内经历三代版本。2025年底及2026年2月的样本连接至旧版操控台Fisher，而2026年4月至9月期间则出现三个新版本，分别名为BlackCat Remote Control Management、Panda Workshop V5及V6，三者均源自同一套程序代码。

每个版本本身也是一套构建工具：操作者可在操控台内建立木马、将其隐藏于看似无害的应用程序之中并加以签署，再由操控台自动发布至Amazon S3或网页服务器，操作者无需另行处理主机设置。操控台亦可按时（例如每小时）自动重新构建应用程序，每次生成新文件，目的是针对依赖文件哈希值辨识已知恶意软件的安全工具。

Gemini用于估算受害人身家，亦用于协助木马自行操作

最新版操控台只支持Google Gemini，并引导操作者前往Google AI Studio取得密钥。据报告指，操控台会将木马从受害电话收集到的短信内容交予Gemini，估算受害人银行存款，再将电话分类为高价值或中价值群组，方便操作者优先处理较有价值的目标。Cleafy分析的样本中，没有证据显示该AI功能被用于直接转走资金，其作用仅为「决定哪些受害人值得操作者花时间处理」。

木马本身亦会在装置上直接调用Gemini。由于其内置的点按指令是为特定手机品牌界面、Android版本及语言而设计，遇到未预见的装置时会失效，此时木马会将画面版面数据传送给Gemini，并按其指示点按画面，调用过程使用储存于木马设置中的API密钥直接从手机发出。The Hacker News指出，安全公司ESET今年2月描述的另一款安卓木马PromptSpy，亦曾使用相同手法向Gemini传送画面版面并跟随其指示点按。

木马通过ADB取得系统层级控制权限

应用程序安装后会要求「无障碍功能」（Accessibility）权限，令其可读取画面内容并代为点按。木马利用此权限自行启用无线调试功能，读取画面上显示的配对码，并连接至手机内置的调试工具Android Debug Bridge（ADB），从而取得以Android系统shell用户（UID 2000）身份运行的操作权限，超出应用程序本身的权限范围。

操作者可在操控台一键启动以Go语言编写的独立程序，通过反向通道（即由电话主动连回操作者服务器的连接）保持可操控状态。该程序使用名为minicap及minitouch的工具串流画面及模拟点按，过程中不会弹出权限提示或显示录影图标，但两款工具在Android 14及之后版本均无法运作。The Hacker News引述安全公司Zimperium的分析指，该Go程序即使在受害人移除应用程序后仍会持续运行，直至手机重新启动为止，并可在应用程序被删除后自动重新安装并重新启用无障碍功能。

近百次部署多与单一新加坡网络相关

Cleafy通过搜索操控台页面标题及网页程序代码，追踪到自2026年4月起共有近100次独立操控台部署，分布于欧洲、拉丁美洲及东南亚多地，当中近半观察到的IP地址均属一个新加坡注册网络AS4907。报告指出，操控台对操作者账户数目设有上限，并对非管理员身份隐藏部分功能，此设计只有在使用者是开发者未完全信任的客户（即其他犯罪集团客户）情况下才合理，与「恶意软件即服务」运作模式一致。