RemControl Android-malware målretter bankkunder i Europa og Canada

RemControl Android-malware målretter bankbrugere gennem falske downloads af IPTV-appen TVTap. Forskere har fundet kampagner rettet mod personer i Italien, Frankrig, Spanien, Polen, Portugal, Canada og dele af Mellemøsten.

Falske TVTap-sider fører til skadelige downloads

Ifølge Group-IB har angribernes infrastruktur været i drift siden mindst maj 2026. Forskere observerede de første malwareprøver i juli.

Angriberne bruger onlineannoncer til at lede personer til falske Google Play-sider for TVTap. Group-IB fandt, at mindst én kampagne i Italien kontrollerede de besøgendes placering og enheder, før downloadsiden blev vist.

Siderne indeholdt også sporings-ID’er fra Meta Pixel. Group-IB betragter dette som et muligt tegn på, at angriberne brugte Metas annonceøkosystem til at tiltrække besøgende.

RemControl forsøger at undgå sikkerhedskontroller

Efter installationen starter den skadelige app en VPN-tjeneste, der blokerer trafik fra Google Play-tjenester. Dette kan forstyrre Play Protects malwarekontroller i realtid.

Appen beder derefter om tilladelse til Androids tilgængelighedstjeneste. Hvis en bruger giver tilladelsen, kan RemControl overvåge aktivitet på tværs af apps og kontrollere dele af enheden.

Bankoverlays stjæler loginoplysninger

Group-IB fandt mere end 30 phishing-overlays i de første prøver. RemControl Android-malware viser disse skærme oven på legitime bankapps for at indsamle adgangskoder, PIN-koder, bankkoder og betalingskortoplysninger.

Malwaren kan modtage nye bankmål fra sine kommando- og kontrolservere. Den kan også streame skærmbilleder og oplysninger om telefonens brugerflade til en operatør. Derudover registrerer den brugerinput og muliggør fjernstyrede tryk, swipes og tekstindtastning.

RemControl kan registrere mønsterlåsbevægelser på flere Android-telefonmærker. Den forsøger også at forhindre fjernelse ved at lukke bestemte indstillingsskærme, når en bruger åbner dem.

Forskere undersøger operatørerne

RemControl henter krypterede serveroplysninger fra Telegram-kanaler. Som følge heraf kan operatørerne ændre infrastrukturen, hvis en server holder op med at fungere.

Group-IB fandt også eksponeret dokumentation på en oprindelig kommando- og kontrolproxy. Den afslørede, hvordan malwaren downloadede bankoverlays og indsendte stjålne loginoplysninger.

Forskerne har ikke identificeret operatørerne. De sporer én operatør som UNKK og mistænker en forbindelse til banktrojaneren Medusa. Russisksproget tekst i nogle overlayfiler tyder på, at en russisktalende person udviklede mindst en del af malwaren. Det fastslår dog ikke operatørens identitet.

Sådan kan Android-brugere reducere risikoen

Undgå at installere APK-filer fra udgivere, du ikke har tillid til. Vær også kritisk over for anmodninger om adgang til tilgængelighedstjenesten fra apps, der ikke har nogen klar grund til at have brug for den. Regelmæssige Play Protect-scanninger kan hjælpe med at opdage skadelige apps.