Android-Malware RatHat: KI stiehlt Bankdaten automatisiert
Veröffentlicht am: 17.09.2026 um 17:42 Uhr | Redaktion boerse-global.de
Sicherheitsexperten von Zimperium haben die Entdeckung einer neuartigen Android-Malware namens RatHat gemeldet. Die Schadsoftware zeichnet sich durch den Einsatz generativer künstlicher Intelligenz (GenAI) aus, um sensible Finanzdaten von Nutzern zu entwenden. Laut einem Bericht vom 17. September 2026 wird die Entwicklung der Malware Akteuren aus China zugeschrieben.
Automatisierung durch künstliche Intelligenz
Ein zentrales Merkmal von RatHat ist die Integration von künstlicher Intelligenz zur Automatisierung der Benutzeroberfläche. Den Analysen zufolge wird vermutlich Google Gemini genutzt, um Klicks innerhalb von Anwendungen eigenständig zu steuern. Diese GenAI-gestützte Navigation ermöglicht es der Malware, komplexe Interaktionen mit Finanz-Apps durchzuführen, ohne dass ein menschlicher Angreifer in Echtzeit eingreifen muss.
Die Schadsoftware zielt primär auf den Diebstahl von Bankdaten, Einmalpasswörtern (OTP), Codes für die Zwei-Faktor-Authentisierung (2FA) sowie persönlichen Identifikationsnummern (PINs) ab. Zudem ist das Programm in der Lage, Bildschirminhalte zu erfassen. Um diese weitreichenden Befugnisse zu erhalten, nutzt RatHat den Zugriff auf Android-Eingabehilfen (Accessibility Services) sowie das sogenannte ADB-Pairing.
Angesichts immer komplexerer Angriffe auf das Online-Banking per Smartphone ist ein Basis-Schutz heute unerlässlich. Dieser kostenlose Ratgeber zeigt Ihnen fünf einfache Maßnahmen, mit denen Sie Ihr Android-Gerät sofort gegen Hacker und Viren absichern können. 5 Schutzmaßnahmen jetzt entdecken
Komplexe Architektur und Persistenzmechanismen
Die technische Struktur von RatHat basiert auf einer dreiteiligen Architektur. Neben der eigentlichen bösartigen App umfasst das System einen Go-Agenten, der als Datei unter dem Namen liblocal-service.so getarnt ist, sowie einen FRP-Client (Fast Reverse Proxy), der als libmedia_codec.so erscheint.
Die Verbreitung der Malware erfolgt über verschiedene Kanäle, darunter Smishing-Kampagnen (SMS-Phishing), manipulierte Werbeanzeigen (Malvertising) sowie die direkte Installation über infizierte APK-Dateien. Einmal auf dem System installiert, setzt RatHat auf ausgefeilte Persistenzstrategien.
Ein versteckter Dienst sorgt für eine automatische Neuinstallation, falls Teile der Malware entdeckt werden. Besonders kritisch bewerten Experten den Umstand, dass der Go-Agent selbst dann auf dem Gerät verbleibt, wenn die ursprüngliche App vom Nutzer gelöscht wird.
Ein veraltetes System macht es Kriminellen besonders leicht, Schadsoftware dauerhaft auf Ihrem Smartphone zu verstecken. In diesem Gratis-Report erfahren Sie, wie Sie durch die richtigen Updates Sicherheitslücken schließen und Ihr Gerät rund um die Uhr schützen. Kostenlosen Android-Update-Ratgeber herunterladen
Schutzmaßnahmen und Identifizierung
Zum Schutz vor Entdeckung verfügt RatHat über insgesamt 4 Anti-Analyse-Layer, die eine Untersuchung durch Sicherheitssysteme erschweren sollen. Die Kommunikation mit dem Command-and-Control-Server (C2) erfolgt über spezifische Endpunkte wie /api/node/register. Dabei wird ein Reverse-Proxy-Tunnel genutzt, wobei die interne Kommunikation teilweise über die lokale Adresse 127.0.0.1 auf Port 7910 abgewickelt wird.
Sicherheitsanalysten haben zudem mehrere Indikatoren für eine Infektion (IOCs) identifiziert. Dazu gehören die bereits genannten Bibliotheken liblocal-service.so und libmedia_codec.so sowie Aktivitäten im Verzeichnis /data/local/tmp und Kommunikation über den Port 27042.
Angesichts der fortschrittlichen Automatisierungsfunktionen raten Experten zur erhöhten Vorsicht bei der Installation von Anwendungen aus unbekannten Quellen und zur kritischen Prüfung von Berechtigungsanfragen, insbesondere im Bereich der Eingabehilfen.
