RemControl Android-malware målretter bankkunder i Europa og Canada

RemControl Android-malware målretter bankkunder gennem falske downloadsider for IPTV-appen TVTap. Forskere hos Group-IB siger, at kampagnen når brugere i dele af Europa, Canada og Mellemøsten.

Falske appsider leverer malwaren

Kampagnens infrastruktur har været i drift siden mindst maj 2026. Group-IB observerede de første malwareprøver i juli. Disse prøver indeholdt mere end 30 phishing-overlays designet til at indsamle bankoplysninger.

Angribere distribuerer RemControl gennem sider, der efterligner Google Play. Mindst én kampagne rettet mod italienske brugere kontrollerede de besøgendes placeringer og mobilbrowsere, før den viste downloadmuligheden.

Group-IB fandt også Meta Pixel-identifikatorer på de ondsindede sider. Forskerne mener, at dette kan indikere, at angriberne brugte Metas annonceøkosystem til at tiltrække besøgende.

Efter installationen starter dropperen en VPN-tjeneste, der blokerer trafik fra Google Play-tjenester. Dette kan forhindre Play Protect i at kontrollere malwaren i realtid.

Tilgængelighedsadgang muliggør tyveri af bankoplysninger

RemControl Android-malware beder brugerne om at give tilladelser til Accessibility Service. Hvis de accepterer, kan malwaren placere phishing-formularer i fuld skærm oven på legitime bankapps.

Disse overlays kan indsamle loginoplysninger, PIN-koder, bankkoder og kortoplysninger. Samtidig kan operatørerne sende nye bankmål til malwaren gennem dens kommando- og kontrolsystem.

Malwaren kan også streame skærmbilleder og oplysninger om, hvad der vises på telefonens skærm. Derudover kan den registrere brugerinput og fjernstyre tryk, swipes og andre handlinger.

RemControl forsøger at modstå fjernelse ved at registrere, når en bruger åbner bestemte indstillinger. Den kan derefter automatisk lukke disse skærmbilleder.

Forskere undersøger operatørerne

RemControl henter krypterede serveroplysninger fra Telegram-kanaler, hvilket gør det muligt for operatørerne at ændre deres infrastruktur. Group-IB fandt også eksponeret dokumentation på en tidlig kommando- og kontrolserver.

Forskerne har ikke identificeret personerne bag kampagnen. De fandt russisksproget tekst i nogle phishing-overlays og mistænker en mulig forbindelse til banktrojaneren Medusa. Disse spor fastslår dog ikke, hvem der driver RemControl.

Et overlay indeholdt, hvad der så ud til at være et svar fra en AI-assistent. Group-IB betragter det som et tegn på, at AI-værktøjer kan have hjulpet med at skabe en del af malwaren.

Android-brugere kan reducere deres eksponering ved at undgå APK-downloads fra upålidelige kilder og være kritiske over for anmodninger om adgang til Accessibility Service fra apps, der ikke har brug for denne adgang.