RatHat安卓銀行木馬操控台改用Gemini篩選高價值受害者

操控台三代演進，木馬本體改動不大

據Cleafy的報告指，RatHat安卓銀行木馬本身自2025年底起變化有限，但操作者用來控制已感染電話的網頁操控台卻完全更換，六個月內經歷三代版本。2025年底及2026年2月的樣本連接至舊版操控台Fisher，而2026年4月至9月期間則出現三個新版本，分別名為BlackCat Remote Control Management、Panda Workshop V5及V6，三者均源自同一套程式碼。

每個版本本身也是一套建構工具：操作者可在操控台內建立木馬、將其隱藏於看似無害的應用程式之中並加以簽署，再由操控台自動發佈至Amazon S3或網頁伺服器，操作者無需另行處理主機設置。操控台亦可按時（例如每小時）自動重新建構應用程式，每次生成新檔案，目的是針對依賴檔案雜湊值辨識已知惡意軟件的保安工具。

Gemini用於估算受害人身家，亦用於協助木馬自行操作

最新版操控台只支援Google Gemini，並引導操作者前往Google AI Studio取得金鑰。據報告指，操控台會將木馬從受害電話收集到的簡訊內容交予Gemini，估算受害人銀行存款，再將電話分類為高價值或中價值群組，方便操作者優先處理較有價值的目標。Cleafy分析的樣本中，沒有證據顯示該AI功能被用於直接轉走資金，其作用僅為「決定哪些受害人值得操作者花時間處理」。

木馬本身亦會在裝置上直接呼叫Gemini。由於其內置的點按指令是為特定手機品牌介面、Android版本及語言而設計，遇到未預見的裝置時會失效，此時木馬會將畫面版面資料傳送給Gemini，並按其指示點按畫面，呼叫過程使用儲存於木馬設定中的API金鑰直接從手機發出。The Hacker News指出，安全公司ESET今年2月描述的另一款安卓木馬PromptSpy，亦曾使用相同手法向Gemini傳送畫面版面並跟隨其指示點按。

木馬透過ADB取得系統層級控制權限

應用程式安裝後會要求「無障礙功能」（Accessibility）權限，令其可讀取畫面內容並代為點按。木馬利用此權限自行啟用無線偵錯功能，讀取畫面上顯示的配對碼，並連接至手機內置的偵錯工具Android Debug Bridge（ADB），從而取得以Android系統shell用戶（UID 2000）身份運行的操作權限，超出應用程式本身的權限範圍。

操作者可在操控台一鍵啟動以Go語言編寫的獨立程式，透過反向通道（即由電話主動連回操作者伺服器的連線）保持可操控狀態。該程式使用名為minicap及minitouch的工具串流畫面及模擬點按，過程中不會彈出權限提示或顯示錄影圖示，但兩款工具在Android 14及之後版本均無法運作。The Hacker News引述安全公司Zimperium的分析指，該Go程式即使在受害人移除應用程式後仍會持續運行，直至手機重新啟動為止，並可在應用程式被刪除後自動重新安裝並重新啟用無障礙功能。

近百次部署多與單一新加坡網絡相關

Cleafy透過搜尋操控台頁面標題及網頁程式碼，追蹤到自2026年4月起共有近100次獨立操控台部署，分佈於歐洲、拉丁美洲及東南亞多地，當中近半觀察到的IP地址均屬一個新加坡註冊網絡AS4907。報告指出，操控台對操作者帳戶數目設有上限，並對非管理員身份隱藏部分功能，此設計只有在使用者是開發者未完全信任的客戶（即其他犯罪集團客戶）情況下才合理，與「惡意軟件即服務」運作模式一致。