RemControl-Android-Malware zielt auf Bankkunden in Europa und Kanada

RemControl-Android-Malware zielt über gefälschte Downloads der IPTV-App TVTap auf Banking-Nutzer ab. Forscher haben Kampagnen entdeckt, die sich gegen Menschen in Italien, Frankreich, Spanien, Polen, Portugal, Kanada und Teilen des Nahen Ostens richten.

Gefälschte TVTap-Seiten führen zu schädlichen Downloads

Laut Group-IB ist die Infrastruktur der Angreifer mindestens seit Mai 2026 in Betrieb. Forscher beobachteten die ersten Malware-Samples im Juli.

Die Angreifer nutzen Online-Werbung, um Menschen auf gefälschte Google-Play-Seiten für TVTap zu leiten. Group-IB stellte fest, dass mindestens eine Kampagne in Italien den Standort und die Geräte der Besucher überprüfte, bevor die Download-Seite angezeigt wurde.

Die Seiten enthielten außerdem Tracking-IDs von Meta Pixel. Group-IB betrachtet dies als mögliches Anzeichen dafür, dass die Angreifer Metas Werbeökosystem nutzten, um Besucher anzulocken.

RemControl versucht, Sicherheitsprüfungen zu umgehen

Nach der Installation startet die schädliche App einen VPN-Dienst, der den Datenverkehr von Google-Play-Diensten blockiert. Dies kann die Echtzeit-Malwareprüfungen von Play Protect beeinträchtigen.

Anschließend fordert die App die Berechtigung für den Android-Bedienungshilfedienst an. Wenn ein Nutzer sie erteilt, kann RemControl Aktivitäten in verschiedenen Apps überwachen und Teile des Geräts steuern.

Banking-Overlays stehlen Zugangsdaten

Group-IB fand in den ersten Samples mehr als 30 Phishing-Overlays. RemControl-Android-Malware zeigt diese Bildschirme über legitimen Banking-Apps an, um Passwörter, PINs, Banking-Codes und Zahlungskartendaten zu sammeln.

Die Malware kann neue Banking-Ziele von ihren Command-and-Control-Servern empfangen. Sie kann außerdem Screenshots und Details der Benutzeroberfläche des Telefons an einen Operator streamen. Darüber hinaus zeichnet sie Benutzereingaben auf und ermöglicht ferngesteuerte Tipp-, Wisch- und Texteingaben.

RemControl kann Bewegungen bei Mustersperren auf mehreren Android-Smartphone-Marken erfassen. Die Malware versucht außerdem, ihre Entfernung zu verhindern, indem sie bestimmte Einstellungsbildschirme schließt, wenn ein Nutzer sie öffnet.

Forscher untersuchen die Betreiber

RemControl ruft verschlüsselte Serverinformationen aus Telegram-Kanälen ab. Dadurch können die Betreiber ihre Infrastruktur ändern, wenn ein Server nicht mehr funktioniert.

Group-IB fand außerdem offengelegte Dokumentation auf einem ursprünglichen Command-and-Control-Proxy. Sie zeigte, wie die Malware Banking-Overlays herunterlud und gestohlene Zugangsdaten übermittelte.

Die Forscher haben die Betreiber nicht identifiziert. Sie verfolgen einen Betreiber unter der Bezeichnung UNKK und vermuten eine Verbindung zum Banking-Trojaner Medusa. Russischsprachiger Text in einigen Overlay-Dateien deutet darauf hin, dass ein russischsprachiger Entwickler zumindest einen Teil der Malware entwickelt hat. Dies belegt jedoch nicht die Identität des Betreibers.

So können Android-Nutzer das Risiko reduzieren

Vermeiden Sie die Installation von APK-Dateien von Herausgebern, denen Sie nicht vertrauen. Hinterfragen Sie außerdem Anfragen nach Zugriff auf den Bedienungshilfedienst von Apps, die keinen eindeutigen Grund dafür haben. Regelmäßige Play-Protect-Scans können dabei helfen, schädliche Apps zu erkennen.