RemControl Android-skadevare retter seg mot bankkunder i Europa og Canada

RemControl Android-skadevare retter seg mot bankbrukere gjennom falske nedlastinger av IPTV-appen TVTap. Forskere har funnet kampanjer rettet mot personer i Italia, Frankrike, Spania, Polen, Portugal, Canada og deler av Midtøsten.

Falske TVTap-sider fører til skadelige nedlastinger

Ifølge Group-IB har angripernes infrastruktur vært i drift siden minst mai 2026. Forskere observerte de første skadevareprøvene i juli.

Angriperne bruker nettannonser for å lede personer til falske Google Play-sider for TVTap. Group-IB fant at minst én kampanje i Italia sjekket de besøkendes plassering og enheter før nedlastingssiden ble vist.

Sidene inneholdt også sporings-ID-er for Meta Pixel. Group-IB anser dette som et mulig tegn på at angriperne brukte Metas annonseøkosystem for å tiltrekke besøkende.

RemControl prøver å unngå sikkerhetskontroller

Etter installasjonen starter den skadelige appen en VPN-tjeneste som blokkerer trafikk fra Google Play-tjenester. Dette kan forstyrre Play Protects sanntidskontroller for skadevare.

Appen ber deretter om tillatelse til Androids tilgjengelighetstjeneste. Hvis en bruker gir tillatelsen, kan RemControl overvåke aktivitet på tvers av apper og kontrollere deler av enheten.

Bankoverlegg stjeler påloggingsinformasjon

Group-IB fant mer enn 30 phishing-overlegg i de første prøvene. RemControl Android-skadevare viser disse skjermbildene over legitime bankapper for å samle inn passord, PIN-koder, bankkoder og betalingskortopplysninger.

Skadevaren kan motta nye bankmål fra sine kommando- og kontrollservere. Den kan også strømme skjermbilder og detaljer om telefonens grensesnitt til en operatør. I tillegg registrerer den brukerinndata og muliggjør eksterne trykk, sveip og tekstinntasting.

RemControl kan registrere bevegelser for mønsterlås på flere Android-telefonmerker. Den prøver også å forhindre fjerning ved å lukke enkelte innstillingsskjermer når en bruker åpner dem.

Forskere undersøker operatørene

RemControl henter kryptert serverinformasjon fra Telegram-kanaler. Som et resultat kan operatørene endre infrastrukturen hvis en server slutter å fungere.

Group-IB fant også eksponert dokumentasjon på en opprinnelig kommando- og kontrollproxy. Den avslørte hvordan skadevaren lastet ned bankoverlegg og sendte inn stjålet påloggingsinformasjon.

Forskerne har ikke identifisert operatørene. De sporer én operatør som UNKK og mistenker en forbindelse til banktrojaneren Medusa. Russiskspråklig tekst i enkelte overleggsfiler tyder på at en russisktalende person utviklet minst deler av skadevaren. Det fastslår imidlertid ikke operatørens identitet.

Slik kan Android-brukere redusere risikoen

Unngå å installere APK-filer fra utgivere du ikke stoler på. Still også spørsmål ved forespørsler om tilgang til tilgjengelighetstjenesten fra apper som ikke har noen klar grunn til å trenge den. Regelmessige Play Protect-skanninger kan bidra til å oppdage skadelige apper.