RemControl Android-skadevare retter seg mot bankkunder i Europa og Canada

RemControl Android-skadevare retter seg mot bankkunder gjennom falske nedlastingssider for IPTV-appen TVTap. Forskere hos Group-IB sier at kampanjen når brukere i deler av Europa, Canada og Midtøsten.

Falske appsider leverer skadevaren

Kampanjens infrastruktur har vært i drift siden minst mai 2026. Group-IB observerte de første skadevareprøvene i juli. Disse prøvene inneholdt mer enn 30 phishing-overlegg utviklet for å samle inn bankopplysninger.

Angripere distribuerer RemControl gjennom sider som etterligner Google Play. Minst én kampanje rettet mot italienske brukere sjekket de besøkendes plassering og mobilnettlesere før nedlastingen ble vist.

Group-IB fant også Meta Pixel-identifikatorer på de ondsinnede sidene. Forskerne mener dette kan tyde på at angriperne brukte Metas annonseøkosystem for å tiltrekke seg besøkende.

Etter installasjonen starter dropperen en VPN-tjeneste som blokkerer trafikk fra Google Play-tjenester. Dette kan hindre Play Protect i å kontrollere skadevaren i sanntid.

Tilgjengelighetstilgang muliggjør tyveri av bankopplysninger

RemControl Android-skadevare ber brukere om å gi tillatelser til Accessibility Service. Hvis de godtar, kan skadevaren plassere phishing-skjemaer i fullskjerm over legitime bankapper.

Overleggene kan samle inn legitimasjon, PIN-koder, bankkoder og kortopplysninger. Samtidig kan operatørene sende nye bankmål til skadevaren gjennom kommando- og kontrollsystemet.

Skadevaren kan også strømme skjermbilder og informasjon om hva som vises på telefonens skjerm. I tillegg kan den registrere brukerinndata og eksternt utføre trykk, sveip og andre handlinger.

RemControl forsøker å motstå fjerning ved å oppdage når en bruker åpner bestemte innstillinger. Den kan deretter automatisk lukke disse skjermene.

Forskere undersøker operatørene

RemControl henter kryptert serverinformasjon fra Telegram-kanaler, noe som gjør det mulig for operatørene å endre infrastrukturen sin. Group-IB fant også eksponert dokumentasjon på en tidlig kommando- og kontrollserver.

Forskerne har ikke identifisert personene bak kampanjen. De fant russiskspråklig tekst i enkelte phishing-overlegg og mistenker en mulig forbindelse til banktrojaneren Medusa. Disse sporene fastslår imidlertid ikke hvem som driver RemControl.

Ett overlegg inneholdt det som så ut til å være et svar fra en AI-assistent. Group-IB anser dette som et tegn på at AI-verktøy kan ha bidratt til å lage deler av skadevaren.

Android-brukere kan redusere eksponeringen ved å unngå APK-nedlastinger fra upålitelige kilder og stille spørsmål ved forespørsler om tilgang til Accessibility Service fra apper som ikke trenger denne tilgangen.