El troyano bancario RatHat incorpora inteligencia artificial para analizar SMS robados, estimar el dinero de sus víctimas y priorizar los móviles potencialmente más rentables.
La inteligencia artificial acaba de cruzar otra frontera inquietante en el mundo del cibercrimen móvil. Investigadores de seguridad han documentado una infraestructura de malware capaz de utilizar Google Gemini para analizar información robada de teléfonos Android y estimar qué víctimas podrían disponer de más dinero en sus cuentas bancarias.
El protagonista es RatHat, un sofisticado troyano bancario para Android cuya infraestructura ha evolucionado durante 2026 hasta convertirse en una auténtica plataforma para operadores criminales.
No se trata simplemente de un virus que roba contraseñas. La investigación revela una estructura preparada para crear aplicaciones maliciosas, distribuirlas, controlar teléfonos infectados, capturar credenciales, leer SMS y clasificar automáticamente a las víctimas mediante inteligencia artificial.
RatHat utiliza Gemini para analizar el dinero de las víctimas
La investigación publicada el 28 de septiembre de 2026 por Cleafy Labs revela uno de los elementos más novedosos de RatHat: la incorporación de inteligencia artificial directamente en su panel de administración.
El sistema analiza los mensajes SMS previamente robados de los dispositivos infectados.
A partir de esos mensajes, un modelo de IA intenta identificar referencias a cuentas bancarias y cantidades de dinero para estimar el saldo financiero de cada víctima.
La última generación del panel, denominada Panda Workshop V6, utiliza específicamente Gemini.
El resultado aparece posteriormente dentro de la consola utilizada por los operadores.
Cada dispositivo puede recibir información como:
- Una valoración generada por IA.
- Una estimación del saldo total.
- Un desglose de posibles cuentas.
- Observaciones generadas por el modelo.
- La fecha en la que se realizó el análisis.
- Una clasificación según el posible valor económico de la víctima.
El objetivo resulta especialmente significativo: permitir que quien controla la infraestructura pueda identificar rápidamente qué teléfonos merece la pena investigar o atacar con mayor atención.
Es una aplicación de la IA muy distinta de los tradicionales usos defensivos de esta tecnología.
Gemini no roba directamente el dinero
Conviene establecer una diferencia fundamental.
Los investigadores no han encontrado pruebas de que Gemini sea utilizado directamente para realizar transferencias bancarias o robar fondos.
Su función documentada es analizar información que RatHat ya ha obtenido de los teléfonos comprometidos y ayudar a clasificar las víctimas.
La IA actúa, por tanto, como una herramienta de automatización y selección.
Esto puede resolver uno de los problemas habituales de las campañas masivas de malware: cuando existen numerosos dispositivos infectados, revisar manualmente cada teléfono exige tiempo.
RatHat intenta automatizar esa tarea.
En lugar de que un operador tenga que leer miles de mensajes para determinar qué usuario dispone aparentemente de más recursos, la inteligencia artificial realiza una primera criba.
El malware también utiliza Gemini dentro del teléfono
La utilización de inteligencia artificial no termina en el panel de control.
RatHat incorpora una segunda integración con Gemini directamente en los dispositivos Android infectados.
Para comprender su importancia hay que observar cómo funciona el malware.
Los teléfonos Android no son todos iguales. Samsung, Xiaomi, Oppo, Vivo y otros fabricantes utilizan interfaces diferentes. También cambian los menús dependiendo de la versión de Android y del idioma configurado.
Una automatización basada únicamente en coordenadas o textos previamente programados puede fallar cuando encuentra una interfaz desconocida.
RatHat intenta resolver este problema recurriendo a un modelo de inteligencia artificial.
Cuando sus instrucciones convencionales no consiguen localizar determinado elemento, el malware puede serializar la estructura de accesibilidad de la pantalla y consultar a Gemini para averiguar dónde debe pulsar.
La IA devuelve información que permite localizar determinados controles de la interfaz.
De esta manera, el malware puede adaptarse mejor a teléfonos, idiomas o versiones del sistema que sus desarrolladores no habían programado previamente.
El objetivo: activar la depuración inalámbrica de Android
Esta capacidad resulta especialmente importante porque RatHat intenta manipular determinadas funciones internas del teléfono.
Después de conseguir que la víctima conceda permisos de Accesibilidad, el malware intenta activar las opciones necesarias para utilizar la depuración inalámbrica.
Posteriormente interactúa con Android Debug Bridge (ADB).
ADB es una herramienta legítima utilizada por desarrolladores y técnicos para comunicarse con dispositivos Android.
RatHat intenta convertir esa capacidad legítima en una vía para obtener un nivel de control mucho mayor.
El malware puede leer el código de emparejamiento mostrado por Android y conectarse al servicio ADB del propio dispositivo.
Esto le permite obtener una sesión ejecutada como el usuario shell de Android, identificado como UID 2000, fuera de los permisos convencionales concedidos a la aplicación maliciosa.
El malware puede sobrevivir después de borrar la aplicación
Una de las características más preocupantes de RatHat es precisamente la separación entre la aplicación instalada inicialmente y determinados componentes posteriores.
Una vez obtenido el acceso necesario, el operador puede desplegar un servicio nativo escrito en Go.
Este componente funciona independientemente del proceso original de la aplicación.
La investigación de Cleafy señala que el servicio puede continuar ejecutándose incluso después de que la víctima elimine la aplicación maliciosa, hasta que el dispositivo sea reiniciado.
Investigaciones anteriores de Zimperium determinaron además que la infraestructura puede utilizar este acceso para volver a instalar la aplicación eliminada y recuperar determinados permisos de Accesibilidad.
Esto transforma la percepción tradicional de una infección móvil.
Eliminar el icono o desinstalar aparentemente la aplicación puede no equivaler a terminar inmediatamente con todos los componentes activos de la amenaza.
Control remoto del teléfono mediante un túnel
RatHat incorpora además un cliente de FRP —Fast Reverse Proxy—.
Su función consiste en establecer un túnel inverso entre el teléfono comprometido y la infraestructura controlada por los atacantes.
Gracias a esa arquitectura, los operadores pueden mantener un canal hacia determinados servicios desplegados en el dispositivo.
Cleafy describe una interfaz desde la que los operadores pueden iniciar el despliegue del servicio mediante prácticamente un solo clic.
Esto reduce notablemente la barrera técnica necesaria para controlar dispositivos comprometidos.
Y ese detalle enlaza con otra de las grandes conclusiones de la investigación.
Casi 100 despliegues apuntan a un modelo de Malware-as-a-Service
Cleafy ha identificado casi 100 despliegues independientes relacionados con las diferentes generaciones del panel desde abril de 2026.
La cifra no representa 100 teléfonos infectados.
Representa aproximadamente 100 instancias distintas de la infraestructura de control localizadas por los investigadores.
Cleafy considera que diferentes características de la plataforma son coherentes con un modelo de Malware-as-a-Service (MaaS).
Bajo este sistema, los desarrolladores de malware no necesariamente ejecutan todas las campañas.
Pueden proporcionar la infraestructura a diferentes operadores o afiliados, de manera similar a un servicio comercial clandestino.
La existencia de límites de cuentas, diferentes roles administrativos y numerosas instalaciones independientes respalda esa hipótesis, según los investigadores.
Las campañas vinculadas a RatHat han sido observadas contra objetivos de Europa, Latinoamérica y el sudeste asiático.
De Fisher a BlackCat y Panda Workshop
La infraestructura ha evolucionado considerablemente.
Muestras identificadas a finales de 2025 y en febrero de 2026 estaban relacionadas con un panel anterior denominado Fisher.
Posteriormente aparecieron tres generaciones construidas sobre una infraestructura común.
La primera fue identificada como BlackCat Remote Control Management.
Después aparecieron:
Panda Workshop V5 y Panda Workshop V6.
La evolución resulta reveladora.
Mientras que el malware instalado en los teléfonos cambió relativamente poco, la infraestructura utilizada por sus operadores experimentó una transformación mucho mayor.
Panda Workshop V5 añadió, entre otras funciones, autenticación TOTP para los propios operadores y herramientas de análisis financiero mediante IA.
Panda Workshop V6 incorporó mayor ofuscación, páginas diseñadas para facilitar la distribución de aplicaciones y una integración centrada específicamente en Gemini.
Una auténtica fábrica automática de malware
El panel de RatHat no funciona únicamente como centro de control.
También actúa como una especie de cadena de producción de APK maliciosos.
Desde una interfaz gráfica, un operador puede configurar el malware, introducir las direcciones de sus servidores, seleccionar permisos y preparar una aplicación señuelo.
La plataforma permite posteriormente empaquetar, firmar y publicar automáticamente la aplicación maliciosa.
Incluso puede regenerar el archivo periódicamente.
Cleafy documentó configuraciones capaces de producir una nueva versión, por ejemplo, cada hora.
El objetivo de esta técnica sería dificultar los sistemas de detección basados exclusivamente en el hash del archivo.
Aunque el comportamiento subyacente permanezca prácticamente intacto, cada nueva compilación puede producir un archivo digitalmente diferente.
También crea páginas falsas de descarga
Panda Workshop V6 lleva la automatización todavía más lejos.
La plataforma incorpora herramientas para generar páginas de descarga fraudulentas.
Entre las plantillas identificadas por los investigadores figura una denominada «Google Store».
Los operadores pueden modificar parámetros como el nombre de la supuesta aplicación, descripción, versión, valoración o número de descargas.
El resultado puede utilizarse para presentar una aplicación maliciosa como si se tratara de software legítimo.
Cleafy advierte, no obstante, de que el análisis del panel por sí solo no permite determinar exactamente en qué fase de la cadena de infección se utilizan todas estas páginas.
SMS, contraseñas y falsas pantallas bancarias
Una vez infectado el teléfono, RatHat dispone de capacidades diseñadas para recopilar información especialmente sensible.
La infraestructura puede almacenar mensajes SMS obtenidos de los dispositivos.
También puede utilizar técnicas de superposición para mostrar pantallas falsas sobre aplicaciones legítimas, incluidas aplicaciones bancarias, con el objetivo de capturar credenciales introducidas por la víctima.
Los operadores disponen posteriormente de diferentes secciones dentro de su panel para consultar los datos obtenidos.
La combinación resulta especialmente peligrosa.
Las credenciales proporcionan información de acceso.
Los SMS pueden contener avisos bancarios, códigos o información financiera.
Y la IA permite procesar grandes cantidades de esos mensajes para identificar automáticamente los dispositivos potencialmente más lucrativos.
RatHat puede registrar pulsaciones y capturar la pantalla
El análisis previo realizado por Zimperium zLabs había descubierto otras capacidades relevantes.
RatHat puede registrar pulsaciones, interceptar SMS, capturar archivos, obtener información sobre aplicaciones instaladas y mostrar superposiciones fraudulentas.
También dispone de mecanismos para controlar visualmente el dispositivo.
En determinadas versiones de Android, el servicio desplegado mediante ADB puede utilizar herramientas como minicap y minitouch para transmitir la pantalla e introducir pulsaciones.
Los investigadores indican, sin embargo, que estas herramientas concretas no funcionan en Android 14 y versiones posteriores.
En esos dispositivos, RatHat debe recurrir a otros mecanismos, algunos de los cuales pueden provocar avisos visibles o requerir autorización.
Esta limitación es importante porque demuestra que el malware no posee control idéntico sobre todas las versiones de Android.
Los ataques comienzan engañando al usuario
Pese a toda su sofisticación técnica, el punto de entrada continúa dependiendo en gran medida de un mecanismo mucho más tradicional: convencer a la víctima para que instale una aplicación maliciosa.
Las campañas investigadas han utilizado técnicas como:
smishing, anuncios maliciosos, páginas falsas y portales de descarga externos.
La víctima termina instalando un archivo APK que aparentemente corresponde a una aplicación legítima.
Posteriormente, el software intenta conseguir permisos de Accesibilidad.
Ese momento es crítico.
Los servicios de Accesibilidad existen para ayudar a usuarios que necesitan herramientas especiales para manejar el dispositivo, pero conceden capacidades muy potentes.
El malware bancario lleva años intentando abusar de ellas.
RatHat utiliza esos permisos como primer escalón para avanzar hacia capacidades mucho más profundas.
La amenaza también afecta a Europa
La investigación de Cleafy sitúa actividad relacionada con RatHat en Europa, Latinoamérica y el sudeste asiático.
Los investigadores no han publicado una cifra fiable del número total de teléfonos infectados.
Por tanto, sería incorrecto interpretar los casi 100 paneles identificados como un número equivalente de víctimas.
La verdadera dimensión de la infección no está cuantificada públicamente en los informes analizados.
Sí existe evidencia, en cambio, de una infraestructura distribuida y preparada para ser utilizada por múltiples operadores.
Casi la mitad de las direcciones IPv4 observadas por Cleafy estaban concentradas en AS4907, una red registrada en Singapur.
Ese dato identifica infraestructura utilizada en la operación, pero no demuestra por sí mismo la ubicación física ni la nacionalidad de sus responsables.
Los investigadores encuentran indicios relacionados con el chino
Existen otros elementos relevantes para la atribución.
Cleafy encontró las tres generaciones recientes del panel escritas en chino simplificado.
Zimperium también había señalado previamente elementos lingüísticos que llevaron a sus investigadores a valorar una posible relación con actores ubicados en China.
Sin embargo, la atribución en ciberseguridad requiere especial prudencia.
Utilizar chino, alojar servidores en Singapur o emplear determinadas herramientas no demuestra por sí solo quién controla una campaña.
Estos elementos constituyen indicadores técnicos que los investigadores pueden utilizar junto con otras evidencias, no una prueba definitiva sobre la identidad de los responsables.
El salto inquietante: IA para industrializar el fraude
RatHat resulta especialmente relevante no porque sea el primer malware Android capaz de robar información bancaria.
Ese tipo de amenazas existe desde hace años.
Lo novedoso es cómo intenta utilizar inteligencia artificial para reducir el trabajo humano necesario para operar una campaña.
La IA puede ayudar al malware a orientarse cuando encuentra una interfaz Android desconocida.
Al otro extremo de la infraestructura, otro proceso puede analizar los SMS obtenidos y determinar qué dispositivos parecen contener información financiera más interesante.
Eso significa que la inteligencia artificial empieza a actuar como capa de automatización entre la infección masiva y la selección individual de objetivos.
El operador sigue tomando decisiones.
Pero necesita revisar menos información manualmente.
Qué pueden hacer los usuarios de Android
La principal barrera continúa estando antes de la infección.
Los usuarios deberían desconfiar especialmente de APK recibidos mediante SMS, anuncios o páginas de descarga desconocidas, sobre todo cuando una aplicación solicita permisos de Accesibilidad sin una justificación evidente.
También conviene revisar periódicamente qué aplicaciones tienen acceso a los servicios de Accesibilidad, mantener Android actualizado y evitar instalar aplicaciones desde fuentes desconocidas salvo que exista una razón concreta y se conozca su procedencia.
La aparición inesperada de opciones de desarrollador o depuración inalámbrica también merece atención.
En caso de sospecha seria de infección, limitarse a borrar la aplicación puede no ser suficiente frente a una amenaza con componentes independientes como RatHat. El análisis técnico publicado hasta ahora no proporciona un procedimiento universal de eliminación completa, por lo que un dispositivo potencialmente comprometido debería tratarse con especial cautela.
RatHat anticipa una nueva generación de malware móvil
La investigación muestra hacia dónde puede evolucionar el cibercrimen.
RatHat combina ingeniería social, abuso de Accesibilidad, ADB, control remoto, robo de credenciales, infraestructura como servicio e inteligencia artificial.
Pero quizá el aspecto más significativo sea económico.
La plataforma no utiliza Gemini únicamente como una curiosidad tecnológica. Lo emplea para intentar determinar qué víctimas pueden resultar más rentables para los operadores.
Ese modelo podría extenderse.
Durante años, una limitación del fraude digital a gran escala ha sido precisamente el coste humano de revisar y explotar enormes cantidades de información robada.
Los modelos de inteligencia artificial pueden reducir ese cuello de botella.
RatHat muestra un escenario en el que infectar, clasificar y priorizar objetivos empieza a convertirse en un proceso cada vez más automatizado.
Y esa evolución obliga a mirar la inteligencia artificial desde otra perspectiva: las mismas tecnologías capaces de automatizar tareas legítimas también pueden incorporarse a infraestructuras criminales para aumentar su escala y eficiencia.
Toqueteo
Toqueteo
Toqueteo