RemControl Android-skadlig kod riktar sig mot bankkunder i Europa och Kanada

RemControl Android-skadlig kod riktar sig mot bankkunder genom falska nedladdningssidor för IPTV-appen TVTap. Forskare på Group-IB uppger att kampanjen når användare i delar av Europa, Kanada och Mellanöstern.

Falska appsidor levererar den skadliga koden

Kampanjens infrastruktur har varit aktiv sedan åtminstone maj 2026. Group-IB observerade de första exemplaren av den skadliga koden i juli. Dessa exemplar innehöll mer än 30 nätfiskeöverlägg utformade för att samla in bankuppgifter.

Angripare distribuerar RemControl via sidor som efterliknar Google Play. Minst en kampanj riktad mot italienska användare kontrollerade besökarnas platser och mobila webbläsare innan nedladdningen visades.

Group-IB hittade också Meta Pixel-identifierare på de skadliga sidorna. Forskarna tror att detta kan tyda på att angriparna använde Metas annonsekosystem för att locka besökare.

Efter installationen startar droppern en VPN-tjänst som blockerar trafik från Google Play-tjänster. Detta kan hindra Play Protect från att kontrollera den skadliga koden i realtid.

Tillgänglighetsåtkomst möjliggör stöld av bankuppgifter

RemControl Android-skadlig kod ber användare att bevilja behörigheter till Accessibility Service. Om de godkänner det kan den placera nätfiskeformulär i helskärm ovanpå legitima bankappar.

Överläggen kan samla in autentiseringsuppgifter, PIN-koder, bankkoder och kortuppgifter. Samtidigt kan operatörerna skicka nya bankmål till den skadliga koden via dess kommando- och kontrollsystem.

Den skadliga koden kan också strömma skärmbilder och information om vad som visas på telefonens skärm. Dessutom kan den registrera användarinmatning och fjärrstyra tryckningar, svepningar och andra åtgärder.

RemControl försöker förhindra borttagning genom att upptäcka när en användare öppnar vissa inställningar. Den kan då automatiskt stänga dessa skärmar.

Forskare undersöker operatörerna

RemControl hämtar krypterad serverinformation från Telegram-kanaler, vilket gör det möjligt för operatörerna att ändra sin infrastruktur. Group-IB hittade också exponerad dokumentation på en tidig kommando- och kontrollserver.

Forskarna har inte identifierat personerna bakom kampanjen. De hittade ryskspråkig text i vissa nätfiskeöverlägg och misstänker en möjlig koppling till banktrojanen Medusa. Dessa ledtrådar fastställer dock inte vem som driver RemControl.

Ett överlägg innehöll vad som verkade vara ett svar från en AI-assistent. Group-IB ser det som ett tecken på att AI-verktyg kan ha hjälpt till att skapa en del av den skadliga koden.

Android-användare kan minska sin exponering genom att undvika APK-nedladdningar från opålitliga källor och ifrågasätta förfrågningar om åtkomst till Accessibility Service från appar som inte behöver den behörigheten.