RatHat 안드로이드 악성코드 콘솔, Gemini AI로 고액 피해자 골라낸다

RatHat의 운영자들은 안드로이드 뱅킹 트로이목마를 직접 만들어 배포하고, 웹 콘솔을 통해 감염된 폰을 제어한다고 보안기업 Cleafy가 밝혔다. Cleafy는 2026년 4월 이후 이 콘솔이 거의 100건 배포된 것을 추적했다. Cleafy는 이것이 서비스형 악성코드(malware-as-a-service) 모델에 해당하며, 각 고객이 별도의 사본을 운영하는 방식이라고 설명했다.

콘솔은 각 폰에서 악성코드가 수집한 정보를 저장하는데, 여기에는 문자메시지와 은행 앱 위에 덧씌운 가짜 로그인 화면에 입력된 비밀번호가 포함된다.

최신 버전은 구글의 Gemini AI 모델에게 이러한 문자메시지를 바탕으로 각 피해자의 은행 잔액을 추정해달라고 요청하고, 폰들을 고액과 중간 가치 그룹으로 분류한다.

Cleafy가 분석한 샘플 중 어느 것도 이 모델을 이용해 실제로 돈을 이체하지는 않았다. 이 모델의 역할은 "어떤 피해자가 운영자의 시간을 들일 가치가 있는지 결정하는 것"이라고 회사는 밝혔다.

콘솔 하나, 버전은 셋

Cleafy에 따르면 피해자 폰에 설치되는 악성코드 자체는 2025년 말 이후 거의 바뀌지 않았다. 바뀐 것은 그 뒤에 있는 콘솔이다.

2025년 말과 2026년 2월의 샘플들은 Fisher라는 이전 콘솔과 연결되어 있었다. 2026년 4월부터 9월 사이에는 동일한 코드로 만들어진 세 가지 새 버전이 사용되었다.

첫 번째는 스스로를 BlackCat Remote Control Management라고 부른다. 다음 두 버전은 Panda Workshop V5와 V6라는 이름을 가지고 있다.

모든 버전은 동시에 빌드 도구이기도 하다. 운영자는 콘솔에서 악성코드를 빌드하고, 이를 무해해 보이는 앱 속에 숨긴 뒤 서명할 수 있다. 이후 콘솔은 운영자가 호스팅 설정을 직접 건드리지 않아도 완성된 앱을 Amazon S3나 웹 서버에 게시한다.

콘솔은 예를 들어 매시간마다 앱을 일정에 따라 재빌드할 수도 있다. 재빌드할 때마다 같은 악성코드에서 새로운 파일이 만들어지는데, Cleafy는 이것이 알려진 파일을 해시값으로 탐지하는 보안 도구를 겨냥한 것이라고 설명했다.

최신 버전에는 Google Store라는 이름의 가짜 다운로드 페이지를 포함해 여러 템플릿도 추가되었다.

클릭 한 번으로 얻는 셸 접근권

Zimperium이 이달 초 밝힌 바에 따르면, RatHat은 문자메시지와 제3자 다운로드 사이트로 연결되는 온라인 광고를 통해 폰에 침투한다.

설치되면 앱은 접근성(Accessibility) 권한을 요청하는데, 이는 앱이 화면을 읽고 사용자 대신 탭을 할 수 있게 해준다. 이 권한을 이용해 앱은 무선 디버깅을 활성화하고, 화면에 뜨는 페어링 코드를 읽어서 폰의 안드로이드 디버그 브릿지(ADB, 안드로이드에 내장된 디버깅 도구)에 연결한다.

이를 통해 악성코드는 앱에 부여된 권한 범위를 벗어나, 안드로이드 셸 사용자(UID 2000) 권한으로 실행되는 셸을 얻는다.

Cleafy에 따르면 운영자는 콘솔에서 클릭 한 번으로 이 셸을 사용할 수 있다. '배포' 버튼을 누르면 Go 언어로 작성된 별도 프로그램이 실행되며, 이 프로그램은 폰이 운영자 서버로 여는 연결인 역방향 터널을 통해 계속 접근 가능한 상태를 유지한다.

ADB와의 페어링은 자동으로 이루어지지만, Go 프로그램은 운영자가 배포 버튼을 클릭해야만 실행된다.

이 프로그램은 운영자가 화면을 지켜보는 방식을 바꿔놓는다. 앱을 통한 화면 캡처는 안드로이드 기능을 사용하는데, 이는 피해자에게 권한을 요청하고 실행 중에는 녹화 아이콘을 표시한다.

반면 Go 프로그램은 minicap과 minitouch라는 도구를 사용해 화면을 스트리밍하고 탭을 전송하며, 권한 요청도 녹화 아이콘도 없다.

두 도구 모두 안드로이드 14 이상에서는 작동하지 않아, 해당 버전의 폰에서는 앱 자체의 화면 캡처와 권한 요청 방식이 그대로 남는다. Cleafy는 또한 초당 약 5프레임으로 작동하는 screencap이라는 도구를 이용한 백업 방식도 설명했지만, 이것이 어느 안드로이드 버전에 해당하는지는 명시하지 않았다.

Go 프로그램은 피해자가 앱을 삭제한 뒤에도 폰이 재부팅될 때까지 계속 실행된다. Zimperium은 이 프로그램이 앱이 삭제된 뒤 재설치하고, 접근성 권한을 다시 켤 수도 있다는 것을 발견했다.

두 보고서 모두 악성코드를 완전히 제거하는 방법은 제시하지 않는다.

콘솔이 얼마나 널리 사용되는가

Cleafy는 콘솔의 페이지 제목과 웹 코드를 검색해 배포 사례를 찾아냈다. 이 수치는 감염된 폰의 수가 아니라 콘솔 배포 건수를 센 것이다.

Cleafy는 무엇을 '배포 1건'으로 간주하는지 밝히지 않았으며, 자사 보고서도 Zimperium의 보고서도 구체적인 피해자 사례를 제시하지는 않았다.

콘솔은 운영자 계정 수를 제한하고 관리자가 아닌 사용자에게는 일부 섹션을 숨긴다. Cleafy는 이러한 제한이 개발자가 완전히 신뢰하지 않는 고객들을 사용자로 두고 있다는 것을 시사한다고 말했다.

Cleafy가 관찰한 IP 주소 중 거의 절반이 싱가포르에 등록된 하나의 네트워크인 AS4907에 속해 있었다.

Gemini, 양쪽 모두에서 사용되다

Cleafy에 따르면 콘솔의 첫 번째 버전은 운영자가 여러 AI 제공업체 중에서 선택할 수 있게 했다. 또한 폰의 AI 점수가 설정한 기준을 넘으면 텔레그램 알림을 보낼 수도 있었다.

최신 버전은 Gemini와만 연동되며, 운영자에게 Google AI Studio에서 키를 발급받도록 안내한다.

RatHat은 폰 자체에서도 Gemini를 사용한다. 이 악성코드에 내장된 탭 조작 명령은 특정 제조사의 인터페이스, 안드로이드 버전, 언어에 맞춰 작성되어 있어서, 제작자가 예상하지 못한 기기에서는 제대로 작동하지 않는다.

이런 경우 악성코드는 화면의 레이아웃 정보를 Gemini에 보내서 어디를 탭해야 하는지 물어본다. 폰에 자체적으로 저장된 API 키를 이용해 Gemini를 직접 호출하는 방식이다.

Cleafy는 이 기능이 오직 무선 디버깅 설정이 계속 작동하도록 유지하는 용도로만 쓰인다고 밝혔다.

안드로이드 악성코드가 이런 방식을 쓴 것은 이번이 처음이 아니다. ESET이 지난 2월 설명한 PromptSpy 역시 화면 레이아웃을 Gemini에 보내고 그 지시에 따라 탭을 수행했다.

침해지표와 탐지 방법

Cleafy는 이들 콘솔의 명령제어(C2) 서버, 다운로드 링크, 악성코드 샘플에 대한 다음과 같은 침해지표를 공개했다:

• 도메인: admin.chunhuating[.]best (Panda Workshop V6의 C2, 2026년 9월)
• 도메인: admin.xiongmaocs[.]pics (Panda Workshop V5의 C2, 2026년 8월)
• IP: 8.231.120[.]246 (BlackCat의 C2, 2026년 4월)
• 도메인: admin.rathat[.]live (Fisher의 C2, 2025년 12월 및 2026년 2월)
• URL: hxxps://dramaspoolcoa[.]com/en.html (다운로드 링크, 2026년 9월)
• URL: hxxps://rathat[.]me/app-release-rat-hat-live.apk (다운로드 링크, 2025년 12월 및 2026년 2월)
• MD5: 116346cace7f00ba557034b534d40791 (샘플, 2026년 9월)
• MD5: 8fdc21e25097a46528211274e54330e1 (샘플, 2026년 2월)
• MD5: f83357b2d47c7d38ee53943373961211 (샘플, 2025년 12월)

이들 콘솔은 대체로 admin.으로 시작하는 웹 주소를 사용하며, 최신 버전의 백엔드에는 adminapi.가 쓰인다. 도메인은 .best, .beer, .top처럼 저렴한 최상위 도메인(TLD)을 사용하는 경향이 있다.

Go 프로그램이 배포되면 minicap과 minitouch 파일이 본래 이름 그대로 /data/local/tmp 경로에 남아 있어, 스캔으로 찾아낼 수 있다. Cleafy는 보안 도구가 셸 사용자(UID 2000)로 실행되는 프로세스를 감시해야 한다고 말했다.

공개된 주소 중 하나인 admin.xiongmaocs[.]pics는 Zimperium이 앞서 발표한 분석의 침해지표 목록에도 등장한다.