RatHat, il trojan Android che usa Gemini per scegliere le…

28 settembre 2026 — Due ricerche indipendenti, condotte da Cleafy e Zimperium e pubblicate oggi, documentano l'evoluzione di RatHat: un trojan bancario Android

{"main_topic":"malware","topics":["malware","cybersecurity","android","banking-trojan","ai","gemini","llm"]}

28 settembre 2026 — Due ricerche indipendenti, condotte da Cleafy e Zimperium e pubblicate oggi, documentano l'evoluzione di RatHat: un trojan bancario Android distribuito come malware-as-a-service che integra il modello generativo Gemini di Google non per rubare direttamente denaro, ma per calcolare quale vittima meriti l'intervento manuale di un operatore umano. La novità non è nell'uso dell'intelligenza artificiale nel crimine informatico, ma nel livello economico della decisione delegata: dalla semplice automazione alla stima del patrimonio e al triage strategico.

Punti chiave

Quasi 100 deployment del console RatHat sono stati tracciati da Cleafy da aprile 2026, in un modello MaaS con copie separate per ogni cliente.
Gemini analizza gli SMS delle vittime per stimare il saldo bancario e suddividere i dispositivi in gruppi high-value e mid-value, prioritizzando l'attenzione degli operatori.
La persistenza si ottiene attraverso ADB wireless self-pairing con escalation a shell UID 2000, deployment di un Go Agent con reverse tunnel FRP, e capacità di reinstallazione automatica post-disinstallazione.
Zimperium attribuisce l'operazione a threat actor con base in Cina e documenta quattro tecniche anti-analisi specifiche: container tampering, manifest bomb, DEX bytecode poisoning e dual string-encryption.

Dal "spray and pray" al targeting economico per LLM

RatHat esiste almeno dalla fine del 2025, quando Cleafy identificò la prima versione del console, denominata Fisher, e il primo campione malware associato. A febbraio 2026 un secondo campione collegato alla stessa console; ad aprile è iniziata la distribuzione su larga scala della versione successiva, BlackCat Remote Control Management. Da allora Cleafy ha tracciato quasi 100 deployment del console, con due aggiornamenti ulteriori: Panda Workshop V5 in agosto e Panda Workshop V6 in settembre.

Il dato qualitativo che distingue questa campagna è l'integrazione di Gemini nelle operazioni di back-end. Il console raccoglie i messaggi SMS estratti dai dispositivi infetti — molti dei quali contengono notifiche bancarie, alert su transazioni, codici OTP — e li sottopone all'analisi del modello generativo. Secondo quanto documentato da Cleafy, "la versione più recente chiede al modello AI Gemini di Google di stimare il saldo bancario di ogni vittima da quei messaggi e ordina i telefoni in gruppi high-value e mid-value". L'obiettivo, come precisa la stessa fonte, è "decidere quali vittime meritano il tempo dell'operatore". Gemini non esegue trasferimenti, non genera comandi di pagamento, non interagisce con le API bancarie: produce una stima di valore economico per ottimizzare l'allocazione di risorse umane criminali.

Questo meccanismo trasforma il rapporto costo/beneficio dell'attacco. In un modello classico di banking trojan, l'operatore deve intervenire manualmente su ogni dispositivo, senza garanzia di profitto. Con RatHat, la selezione avviene a monte: il LLM funge da filtro economico, riducendo il tempo speso su vittime con basso potenziale di estrazione. È un'applicazione dell'intelligenza artificiale generativa alla logistica criminale, non all'esecuzione tecnica del furto.

Come il malware conquista e mantiene il dispositivo

La catena di infezione inizia con SMS fraudolenti e annunci online che indirizzano verso siti di download di terze parti. L'APK malevolo, una volta installato, richiede l'accesso ai servizi di accessibilità (Accessibility Services) con il pretesto di abilitare funzionalità di supporto. Da questa posizione privilegiata attiva il wireless debugging, legge il codice di pairing ADB e stabilisce una connessione con il dispositivo stesso.

La connessione ADB fornisce una shell con privilegi di shell user (UID 2000), al di fuori dello spazio di sandbox dell'applicazione originaria. Attraverso questo canale viene distribuito un programma scritto in Go — mascherato da libreria nativa 'liblocal-service.so' secondo Zimperium — che stabilisce un reverse tunnel persistente tramite FRP (Fast Reverse Proxy). Il Go Agent include keylogger a livello hardware e utilizza minicap e minitouch per lo streaming dello schermo e l'esecuzione di tap sintetici, entrambi senza richiedere permessi visibili all'utente e senza generare l'icona di registrazione schermo standard di Android.

Su Android 14 e versioni successive, minicap e minitouch non funzionano: il malware ricade su un metodo di screencap alternativo con frame rate di circa 5 fps, meno stealth ma funzionalmente equivalente. La persistenza è particolarmente aggressiva: il programma Go sopravvive alla disinstallazione dell'app originale, può reinstallarla e ripristinare i permessi di accessibilità, mantenendo il controllo fino al riavvio del dispositivo.

Quasi la metà degli indirizzi IP osservati da Cleafy nella rete di comando e controllo risiede sull'AS4907, registrata a Singapore. La geografia dell'infrastruttura non coincide necessariamente con quella degli operatori: Zimperium ha valutato che RatHat sia gestito da threat actor con base in Cina, ma il dossier non fornisce ulteriori dettagli sull'identità del gruppo.

"Il malware serializza l'Accessibility tree live del dispositivo in XML e comunica con uno degli assistenti di intelligenza artificiale generativa più popolari al mondo"
— Zimperium, via The Hacker News

Il doppio uso di Gemini: back-end e dispositivo

L'integrazione di Gemini opera su due livelli distinti. Sul server, come descritto, avviene l'analisi batch degli SMS e lo scoring economico delle vittime. Sul dispositivo, Gemini interviene come meccanismo di fallback per la navigazione dell'interfaccia utente: quando le istruzioni di tap hardcoded nel malware non riconoscono il layout di una specifica app bancaria, il malware serializza l'albero di accessibilità in XML, lo invia a Gemini e riceve le coordinate di tap per proseguire l'interazione. Zimperium specifica che la risposta è strutturata in JSON con le coordinate centrali del target nominato, utilizzate per dirigere clic sintetici.

Questo uso runtime dell'LLM è circoscritto: secondo Cleafy, sul dispositivo Gemini è limitato al mantenimento della configurazione del wireless debugging, mentre la logica di triage economico risiede nel console. La separazione architetturale riflette una progettazione modulare: il malware sul telefono è rimasto sostanzialmente invariato dalla fine del 2025, mentre il console è stato completamente reimplementato tre volte in sei mesi.

Una nota tecnica rilevante: la prima versione del console supportava più provider di modelli generativi; l'ultima utilizza esclusivamente Gemini e indirizza gli operatori verso Google AI Studio per il provisioning delle chiavi API. La dipendenza da un unico ecosistema AI legittimo — con il quale gli operatori criminali interagiscono attraverso account ordinari — introduce un vettore di governance complesso, sul quale le fonti non forniscono valutazioni.

Anti-analisi e architettura multi-tier

Zimperium ha documentato quattro tecniche anti-analisi specifiche nel campione RatHat. Il container tampering altera la struttura del file APK per impedirne l'apertura con strumenti standard. Il manifest bomb inserisce nel file AndroidManifest.xml una quantità di dati progettata per superare i limiti di parser comuni. Il DEX bytecode poisoning corrompe selettivamente il bytecode Dalvik per eludere la decompilazione. La dual string-encryption applica due livelli di cifratura alle stringhe sensibili, rendendo più difficile l'estrazione statica degli indicatori.

L'architettura complessiva, come la descrive Zimperium, comprende tre componenti principali: l'applicazione Android malevola, il Go Agent e il client FRP reverse-proxy. Ogni versione del console funziona anche da build tool: compila, firma e pubblica automaticamente l'APK su bucket Amazon S3 o su web server designati. Il console può ricompilare l'applicazione a intervalli — Cleafy cita "ogni ora" come esempio — generando nuovi hash per evadere i sistemi di rilevamento basati su firme.

Cosa fare adesso

Per le istituzioni finanziarie, la priorità è riconoscere che i trojan bancari hanno superato la fase di semplice automazione e ora impiegano LLM per decisioni economiche strategiche. Questo richiede:

Rivedere i modelli di rilevamento delle transazioni: un attacco preceduto da triage economico mostrerà tassi di successo più elevati su account selezionati, rendendo meno efficaci le soglie statistiche uniformi.
Monitorare l'uso anomalo dei servizi di accessibilità sui dispositivi dei clienti, in particolare in concomitanza con attivazione del wireless debugging ADB.
Segnalare alla clientela che nessuna istituzione bancaria richiede l'attivazione di Accessibility Services o del debug wireless per operazioni ordinarie.
Verificare che i sistemi di intelligence su minacce includano indicatori IoC specifici di RatHat: i domini C2, gli URL di download e gli hash MD5 documentati da Cleafy, con attenzione alla rapidità di rotazione imposta dal meccanismo di ricompilazione oraria.

Perché questo cambia il calcolo del rischio

RatHat non rappresenta un salto tecnologico nel senso tradizionale: l'abuso di Accessibility Services, l'uso di ADB per persistenza e persino l'integrazione di modelli linguistici in malware Android erano tecniche documentate in precedenza — PromptSpy, analizzato da ESET a febbraio 2026, fu il primo caso noto. La differenza qualitativa sta nell'economia della decisione. Quando un LLM stima il saldo bancario per ottimizzare l'intervento umano, il malware smette di essere uno strumento e diventa un sistema di allocazione del capitale criminale.

Per le istituzioni finanziarie, questo significa affrontare avversari che selezionano i propri clienti con la stessa logica — se non con gli stessi strumenti — di un consulente patrimoniale. Per i fornitori di sicurezza mobile, come nota Zimperium, "l'architettura multi-tier di RatHat, la dipendenza da daemon fuori dal ciclo di vita ufficiale e l'uso di loop decisionali in tempo reale basati su GenAI illustrano perché i controlli di sicurezza mobile tradizionali, basati su firme, sono insufficienti".

Il dossier non specifica il numero esatto di dispositivi infetti, la geografia delle vittime, il modello Gemini esatto impiegato né il costo del servizio MaaS per gli acquirenti. Non emergono sovrapposizioni infrastrutturali che colleghino RatHat ad altri gruppi criminali noti allo stato attuale. La fonte non documenta misure correttive specifiche per la rimozione completa del malware dai dispositivi compromessi.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter