Trojan bancário RatHat usa Gemini para priorizar vítimas Android de maior valor

O RatHat é um trojan bancário para Android distribuído sob o modelo malware-as-a-service: cada cliente/operador roda sua própria cópia isolada do console de controle, o que descentraliza a operação e dificulta a atribuição a um único grupo. Segundo a Cleafy, o console permite compilar o malware, escondê-lo dentro de aplicativos aparentemente legítimos, assiná-lo digitalmente e publicá-lo automaticamente em buckets do Amazon S3 ou servidores web — sem exigir gerenciamento manual constante do operador. Uma característica notável é a recompilação agendada de hora em hora, criada especificamente para variar o hash do binário e evadir detecção baseada em assinatura estática.

A novidade técnica que justifica destacar este caso é o uso do Gemini da Google como etapa de triagem dentro da cadeia de ataque: depois de coletar mensagens SMS das vítimas infectadas (que frequentemente contêm notificações bancárias, saldos e alertas de transação), o console envia esse conteúdo ao modelo e pede que ele estime o saldo bancário de cada vítima a partir do texto. O resultado é usado para segmentar os telefones comprometidos em grupos de alto e médio valor, permitindo que os operadores concentrem esforço manual de fraude (por exemplo, uso do Android Debug Bridge para controle remoto e execução de transferências) nas vítimas com maior potencial de retorno.

É importante notar o que o modelo de IA não faz aqui: ele não executa transferências, não decide autonomamente atacar, e não interage diretamente com o sistema bancário. Seu papel é estritamente analítico — inferência de valor a partir de linguagem natural não estruturada — mas isso já basta para transformar uma operação de fraude em massa, de baixa eficiência, em um funil priorizado que direciona esforço humano escasso (e mais caro) para os alvos mais lucrativos. Esse padrão de “IA como classificador de vítimas” tende a se generalizar para outras famílias de malware, já que a barreira técnica é baixa: qualquer operador com acesso a uma API de LLM comercial pode adicionar essa camada de triagem sem desenvolver capacidade própria de NLP.

Na prática, o caso importa por dois motivos: primeiro, evidencia que o abuso de LLMs comerciais por operadores de malware já é operacional e não hipotético, o que levanta questões sobre abuso de API e políticas de uso aceitável dos provedores de modelos; segundo, do ponto de vista defensivo, equipes de resposta a incidentes bancários devem considerar que a segmentação por valor de vítima feita por IA aumenta a velocidade e a precisão da monetização de campanhas de trojan bancário, o que pode se refletir em fraudes mais rápidas e direcionadas após a infecção inicial.