Un malware Android nommé RATHat appelle Gemini en cas d’échec dans les menus d’un smartphone. Oui, la fraude mobile évolue. L’IA ne vole pas seule, mais aide le cheval de Troie à improviser.
Vous vous demandez peut-être comment ce malware Android utilise Gemini ? La réponse tient à un détail assez malin. RATHat demande au modèle d’analyser l’interface affichée sur le smartphone. Il peut ainsi retrouver un bouton ou un réglage lorsque ses scripts habituels échouent.
Concrètement, le malware Android transmet une représentation de l’écran à Gemini. Le modèle identifie ensuite l’élément recherché et renvoie les coordonnées nécessaires. Cette méthode permet à RATHat de composer avec les différences entre les smartphones Android. Une interface modifiée ne suffit donc plus toujours à bloquer son scénario.
Comment ce malware Android s’aide de Gemini ?
RATHat arrive généralement via du smishing, de la publicité malveillante ou des sites de téléchargement trompeurs. Il cherche ensuite à obtenir l’accès aux services d’accessibilité.
Cette autorisation lui permet de lire certains éléments affichés et d’effectuer des actions à la place de l’utilisateur. Le malware pousse ensuite la victime vers les options pour développeurs et le débogage sans fil. Il récupère le code d’association affiché par Android, puis utilise ADB.
Cette étape change son niveau d’accès. RATHat peut alors lancer un service natif écrit en Go et établir un tunnel inverse vers son opérateur. Mais c’est ici que Gemini apporte une différence intéressante.
RATHat récupère l’arbre de l’interface Android sous forme XML. Il peut transmettre cette représentation à Gemini lorsque ses propres repères ne suffisent plus. Le modèle doit alors identifier un bouton, retrouver un texte ou fournir des coordonnées. Le malware peut ensuite utiliser cette réponse pour poursuivre sa séquence.
Concrètement, Gemini devient une sorte de GPS pour l’interface. Il ne pilote pas le smartphone comme un utilisateur humain. Cette distinction compte. Gemini ne réalise pas la fraude bancaire à la place du malware. Il l’aide surtout à franchir certains obstacles techniques.
Gemini ne rend pas RATHat intelligent, mais plus adaptable
Le point le plus intéressant concerne la fragmentation d’Android. Les développeurs de malwares doivent habituellement prévoir plusieurs versions d’un même scénario. Ils doivent aussi gérer les différentes interfaces des fabricants.
Cette méthode coûte du temps. Elle multiplie aussi les scripts à maintenir. RATHat déplace une partie du problème vers un modèle d’IA. Le malware Android peut demander de l’aide à Gemini lorsque son automatisation classique ne reconnaît pas un élément.
Cette logique réduit donc la dépendance aux scripts conçus pour chaque appareil. Elle ne rend pas pour autant le malware autonome. RATHat dépend toujours de ses autorisations, de son infrastructure et de plusieurs composants techniques. Gemini intervient seulement sur certaines décisions d’interface.
Le phénomène n’est d’ailleurs pas totalement inédit. ESET avait déjà décrit PromptSpy en février 2026, avec une utilisation similaire de Gemini pour interpréter l’écran d’un appareil. La nouveauté tient surtout à l’intégration de cette approche dans une opération plus structurée.
Le malware Android utilise aussi Gemini pour trier ses victimes
L’IA intervient également côté opérateur. La console de RATHat collecte notamment des SMS provenant des appareils infectés. Elle peut ensuite utiliser Gemini pour estimer le solde bancaire associé à certaines données.
Le système classe alors les appareils selon leur valeur potentielle. Les opérateurs peuvent ainsi concentrer leurs efforts sur certaines victimes. C’est une autre utilisation intéressante de l’IA. Le modèle ne vole pas directement l’argent. Il aide plutôt les cybercriminels à déterminer quelles cibles méritent davantage d’attention.
Cleafy a identifié près de 100 déploiements de la console depuis avril 2026. Ce chiffre concerne les consoles observées, pas le nombre de smartphones infectés. L’entreprise estime aussi que cette infrastructure correspond à un modèle de Malware-as-a-Service. Plusieurs utilisateurs pourraient donc exploiter leurs propres instances.
La console peut même générer, signer et publier de nouveaux APK. Elle peut aussi reconstruire les fichiers selon un calendrier défini. Cette mécanique complique les défenses basées uniquement sur les empreintes de fichiers. Chaque nouvelle génération peut produire un nouvel artefact.
Le problème dépasse donc Gemini. RATHat combine ingénierie sociale, accessibilité, ADB, contrôle à distance et IA. Chaque composant compense une faiblesse des autres. Pour les défenseurs, surveiller uniquement l’APK malveillant ne suffit plus. L’activation inhabituelle de l’accessibilité, du débogage sans fil ou des processus sous l’UID 2000 mérite aussi une attention particulière.
Le cas RATHat montre surtout une évolution intéressante. L’IA ne sert plus seulement à produire du code ou des messages frauduleux. Elle peut aussi aider un malware à composer avec un environnement qu’il ne connaît pas.
- Partager l'article :
