Androidマルウェア「RatHat」の管理ツールがGeminiを悪用、SMSから残高を推定して標的を選別

要点

• セキュリティ企業Cleafyの調査により、Android向けバンキング型マルウェア「RatHat」の管理ツールがGoogleのAIモデル「Gemini」を利用していることが判明した。

• 窃取したSMSからGeminiを用いて被害者の口座残高を推定し、攻撃対象を高価値と中価値のグループへ自動分類している。

• 管理コンソールはMaaS（Malware-as-a-Service）形態で提供され、2026年4月以降で約100件の配備が確認されている。

• コンソールには検知回避を目的とした定期的な自動再ビルド機能や偽配布サイト作成機能が備わっている。

• アクセシビリティ権限とADB（Android Debug Bridge）を悪用し、アプリ削除後も端末再起動まで常駐を維持する仕組みを持つ。

• セキュリティ企業Cleafyは2026年9月、Android端末を標的とするバンキング型トロイの木馬「RatHat」の管理コンソールに関する調査報告を公開した。最新バージョンのコンソールにはGoogleのAIモデル「Gemini」が組み込まれており、感染端末から盗み出したテキストメッセージをもとに口座残高を推定して攻撃の優先順位を決めていることが明らかになった。

Geminiによる口座残高の推定と標的の選別

RatHatは、感染端末からテキストメッセージ（SMS）や、正規バンキングアプリ上に重ねて表示させた偽画面からパスワードなどの認証情報を収集し、攻撃者が運用するWebコンソールへ保存する。

最新版コンソールでは、収集したメッセージをGoogleのGeminiに送信して被害者の口座残高を推定させ、端末を「高価値（high-value）」と「中価値（mid-value）」のグループへ自動分類する処理が実装されていた。Cleafyの解析によると、Geminiが直接金銭の移動を行う機能は確認されておらず、どの被害者に対して攻撃者が時間をかける価値があるかを判断するスクリーニング役として利用されているという。

MaaS形式での提供とコンソールの世代交代

Cleafyによると、被害者の端末に送り込まれるRatHat本体のコードは2025年後半からほぼ変化していない一方、背後の管理コンソールは刷新が重ねられている。

2025年末や2026年2月の検体は「Fisher」と呼ばれる初期のコンソールに接続していたが、2026年4月から9月にかけては同一コードを元にした3つの新バージョン（「BlackCat Remote Control Management」、「Panda Workshop V5」、「Panda Workshop V6」）が稼働した。Cleafyは2026年4月以降で約100件のコンソール配備を確認しており、顧客ごとに独立したコピーを運用させるMaaS（Malware-as-a-Service：サービスとしてのマルウェア）モデルに該当すると説明している。

自動再ビルドと偽サイトによる検知回避

新世代のコンソールはマルウェアのビルド（生成）ツールも兼ねており、攻撃者はコンソール上でマルウェアを生成して無害なアプリに偽装・署名した上で、Amazon S3や外部Webサーバーへ直接公開できる。

さらに1時間ごとなどにアプリを自動再ビルドするスケジュール機能も備える。中身は同一のマルウェアでありながら再ビルドごとに異なるファイルが生成されるため、ハッシュ値（ファイルの一意な識別データ）によるセキュリティツールの検知をすり抜ける狙いがあるという。最新版には「Google Store」と称する偽ダウンロードページ用のテンプレートも追加されている。

アクセシビリティとADBの悪用による権限昇格

セキュリティ企業Zimperiumの報告によると、RatHatはSMSやオンライン広告からサードパーティの配布サイトへ誘導されて端末にインストールされる。

アプリは画面読み取りや自動操作を可能にするアクセシビリティ（ユーザー補助）権限を要求し、これを使って端末のワイヤレスデバッグを自動で有効化する。画面上のペアリングコードを読み取ってAndroid標準の開発ツールADB（Android Debug Bridge）へ接続し、アプリの通常権限を超えたシェルユーザー（UID 2000）権限を獲得する。

Goプログラムによる画面操作と常駐化

管理者はコンソールからワンクリックでGo言語製の別プログラムを端末上で起動し、リバーストンネル（端末側から攻撃者サーバーへ張る通信経路）を通じてシェルを遠隔操作できる。ADBペアリングは自動化されているが、Goプログラムの実行は管理者の操作をトリガーとする。

このGoプログラムは、通常アプリで画面キャプチャを行う際に表示されるユーザーへの許可プロンプトや録画中アイコンを回避するため、「minicap」と「minitouch」というツールを用いて画面のストリーミングやタップ操作を行う。ただし両ツールはAndroid 14以降では動作せず、その場合は許可プロンプトが出るアプリ標準のキャプチャが使われる。また約5fpsで画面を取得する「screencap」によるバックアップ手段も確認されている。

Goプログラムは、被害者がアプリ本体を削除した場合でも端末が再起動されるまで動作を継続する。Zimperiumの報告では、削除されたアプリを再インストールしてアクセシビリティ権限を復元する挙動も確認された。なお、CleafyとZimperiumの報告書はいずれもマルウェアを完全に駆除する具体的な手順には言及していない。