RemControl Android-skadlig kod riktar in sig på bankkunder i Europa och Kanada

RemControl Android-skadlig kod riktar in sig på bankkunder genom falska nedladdningar av IPTV-appen TVTap. Forskare har upptäckt kampanjer riktade mot personer i Italien, Frankrike, Spanien, Polen, Portugal, Kanada och delar av Mellanöstern.

Falska TVTap-sidor leder till skadliga nedladdningar

Enligt Group-IB har angriparnas infrastruktur varit aktiv sedan åtminstone maj 2026. Forskare observerade de första exemplaren av den skadliga koden i juli.

Angriparna använder onlineannonser för att leda personer till falska Google Play-sidor för TVTap. Group-IB upptäckte att minst en kampanj i Italien kontrollerade besökarnas plats och enheter innan nedladdningssidan visades.

Sidorna innehöll även spårnings-ID för Meta Pixel. Group-IB anser att detta kan vara ett tecken på att angriparna använde Metas annonsekosystem för att locka besökare.

RemControl försöker undvika säkerhetskontroller

Efter installationen startar den skadliga appen en VPN-tjänst som blockerar trafik från Google Play-tjänster. Detta kan störa Play Protects kontroller av skadlig kod i realtid.

Appen begär sedan behörighet till Androids tillgänglighetstjänst. Om en användare beviljar den kan RemControl övervaka aktivitet i olika appar och styra delar av enheten.

Banköverlägg stjäl inloggningsuppgifter

Group-IB hittade fler än 30 nätfiskeöverlägg i de första exemplaren. RemControl Android-skadlig kod visar dessa skärmar ovanpå legitima bankappar för att samla in lösenord, PIN-koder, bankkoder och betalkortsuppgifter.

Den skadliga koden kan ta emot nya bankmål från sina kommando- och kontrollservrar. Den kan också strömma skärmbilder och information om telefonens gränssnitt till en operatör. Dessutom registrerar den användarens inmatningar och möjliggör fjärrstyrda tryckningar, svepningar och textinmatning.

RemControl kan registrera rörelser för mönsterlås på flera Android-telefonmärken. Den försöker också förhindra borttagning genom att stänga vissa inställningsskärmar när en användare öppnar dem.

Forskare undersöker operatörerna

RemControl hämtar krypterad serverinformation från Telegram-kanaler. Därmed kan operatörerna byta infrastruktur om en server slutar fungera.

Group-IB hittade också exponerad dokumentation på en ursprunglig kommando- och kontrollproxy. Den avslöjade hur den skadliga koden laddade ner banköverlägg och skickade in stulna inloggningsuppgifter.

Forskarna har inte identifierat operatörerna. De spårar en operatör under namnet UNKK och misstänker en koppling till banktrojanen Medusa. Ryskspråkig text i vissa överläggsfiler tyder på att en rysktalande person utvecklade åtminstone en del av den skadliga koden. Det fastställer dock inte operatörens identitet.

Så kan Android-användare minska risken

Undvik att installera APK-filer från utgivare som du inte litar på. Var också försiktig med förfrågningar om åtkomst till tillgänglighetstjänsten från appar som inte har någon tydlig anledning att behöva den. Regelbundna Play Protect-skanningar kan hjälpa till att upptäcka skadliga appar.