RemControl-Android-Malware zielt auf Bankkunden in Europa und Kanada ab

RemControl-Android-Malware zielt über gefälschte Download-Seiten für die IPTV-App TVTap auf Bankkunden ab. Forscher von Group-IB geben an, dass die Kampagne Nutzer in Teilen Europas, Kanadas und des Nahen Ostens erreicht.

Gefälschte App-Seiten verbreiten die Malware

Die Infrastruktur der Kampagne ist seit mindestens Mai 2026 aktiv. Group-IB beobachtete im Juli erstmals Malware-Samples. Diese Samples enthielten mehr als 30 Phishing-Overlays, die darauf ausgelegt waren, Bankdaten zu sammeln.

Angreifer verbreiten RemControl über Seiten, die Google Play imitieren. Mindestens eine Kampagne, die auf italienische Nutzer abzielte, überprüfte den Standort und den mobilen Browser der Besucher, bevor der Download angezeigt wurde.

Group-IB fand außerdem Meta-Pixel-Kennungen auf den schädlichen Seiten. Die Forscher gehen davon aus, dass dies darauf hindeuten könnte, dass die Angreifer Metas Werbeökosystem nutzten, um Besucher anzulocken.

Nach der Installation startet der Dropper einen VPN-Dienst, der den Datenverkehr von Google-Play-Diensten blockiert. Dadurch kann verhindert werden, dass Play Protect die Malware in Echtzeit überprüft.

Zugriff auf Bedienungshilfen ermöglicht Diebstahl von Bankdaten

RemControl-Android-Malware fordert Nutzer dazu auf, Berechtigungen für den Accessibility Service zu erteilen. Stimmen sie zu, kann die Malware bildschirmfüllende Phishing-Formulare über legitime Banking-Apps legen.

Die Overlays können Zugangsdaten, PINs, Banking-Codes und Kartendaten erfassen. Gleichzeitig können die Betreiber der Malware über ihr Command-and-Control-System neue Bankziele übermitteln.

Die Malware kann außerdem Screenshots und Informationen darüber streamen, was auf dem Bildschirm des Smartphones angezeigt wird. Darüber hinaus kann sie Benutzereingaben aufzeichnen und aus der Ferne Tipp-, Wisch- und andere Aktionen ausführen.

RemControl versucht, seine Entfernung zu verhindern, indem es erkennt, wenn ein Nutzer bestimmte Einstellungen öffnet. Anschließend kann die Malware diese Bildschirme automatisch schließen.

Forscher untersuchen die Betreiber

RemControl ruft verschlüsselte Serverinformationen aus Telegram-Kanälen ab, wodurch die Betreiber ihre Infrastruktur ändern können. Group-IB fand außerdem offengelegte Dokumentation auf einem frühen Command-and-Control-Server.

Die Forscher haben die Personen hinter der Kampagne nicht identifiziert. Sie fanden russischsprachigen Text in einigen Phishing-Overlays und vermuten eine mögliche Verbindung zum Banking-Trojaner Medusa. Diese Hinweise belegen jedoch nicht, wer RemControl betreibt.

Ein Overlay enthielt etwas, das wie die Antwort eines KI-Assistenten aussah. Group-IB betrachtet dies als Hinweis darauf, dass KI-Tools möglicherweise bei der Erstellung eines Teils der Malware geholfen haben.

Android-Nutzer können ihr Risiko verringern, indem sie APK-Downloads aus nicht vertrauenswürdigen Quellen vermeiden und Anfragen nach Zugriff auf den Accessibility Service von Apps hinterfragen, die diesen Zugriff nicht benötigen.