RemControl, le cheval de Troie bancaire Android propulsé par l'IA, opère comme plateforme Malware‑as‑a‑Service ciblant les applications bancaires

Les chercheurs de Group‑IB ont identifié RemControl comme un cheval de Troie bancaire Android inédit fonctionnant comme une plateforme Malware‑as‑a‑Service (MaaS). Les premiers échantillons datent de juillet 2026 et l’infrastructure de commande‑et‑contrôle (C2) est active depuis mai 2026. Le service comprend une API de suivi des affiliés qui enregistre l’activité des distributeurs en aval.

Le vecteur de distribution repose sur des pages Web contrefaites qui imitent l’application tierce de télévision par Internet TVTap. Ces pages ont été hébergées sur des domaines enregistrés le 10 juillet 2026 et promues via des campagnes de malvertising sur Facebook et Instagram. La charge malveillante n’est délivrée qu’aux appareils Android affichant une adresse IP locale et une chaîne User‑Agent compatible, limitant ainsi l’exposition aux victimes ciblées.

Pour contourner Google Play Protect, le chargeur démarre d’abord un service VPN local qui bloque le trafic réseau à destination du paquet com.android.vending, désactivant efficacement l’analyse en temps réel du Play Store. Une fois le VPN actif, le chargeur génère un certificat de signature unique et le stocke dans le Android Keystore, rendant les détections basées sur les hachages ou les certificats inefficaces.

RemControl demande la permission du Service d’Accessibilité. Une fois accordée, il surveille l’application au premier plan. Lorsqu’une application bancaire répertoriée est détectée, le malware injecte une superposition WebView plein écran qui reproduit l’interface légitime. La superposition capture les codes PIN, mots de passe, dates d’expiration des cartes et même les schémas de déverrouillage du smartphone saisis par l’utilisateur.

L’analyse du code a révélé des traces d’assistance par intelligence artificielle. Un assistant IA a généré mot à mot le contenu d’une page de phishing active, et des commentaires en russe ainsi que d’autres artefacts indiquent que le HTML de la superposition et certaines parties du code malveillant ont été rédigés avec le soutien d’une IA.

Techniques d’évasion et infrastructure

Le contournement basé sur le VPN et la création d’un certificat de signature par installation constituent une stratégie d’évasion à deux niveaux. En empêchant les analyses du Play Store et en produisant un certificat unique pour chaque victime, RemControl échappe aux solutions de sécurité mobile traditionnelles qui reposent sur des signatures statiques.

La communication avec le serveur de commande‑et‑contrôle s’effectue via un canal Telegram « dead‑drop ». Cette méthode permet à l’opérateur de faire pivoter rapidement les points d’extrémité C2, compliquant les efforts d’attribution et de suppression.

Écosystème d’affiliation et origines possibles

Les métadonnées d’affiliation comprennent le pseudonyme « UNKK » dans les balises de campagne. Les conventions de nommage et l’utilisation de liens Telegram « dead‑drop » ressemblent à la structure du botnet Medusa, suggérant un lien opérationnel potentiel. Les commentaires en langue russe dans le code source pointent vers une origine russe probable du groupe.

Le chargeur de RemControl prend en charge plus de trente langues, indiquant l’intention d’étendre la portée au‑delà des régions actuellement observées. Deux variantes ont été spécialement adaptées pour la France, où le logiciel malveillant cible plus de trente établissements financiers.

• Le service VPN bloque le trafic du Play Store pour contourner Google Play Protect
• Certificat de signature unique stocké dans le Android Keystore pour chaque victime
• Le Service d’Accessibilité surveille l’application au premier plan et injecte une superposition WebView plein écran
• Contenu HTML généré par IA utilisé pour la superposition de phishing

La superposition générée par IA n’est pas simplement décorative ; elle reproduit exactement les éléments visuels des applications bancaires ciblées, rendant la détection manuelle par les utilisateurs très difficile. La superposition saisit l’ensemble des données d’identification, y compris les informations de carte et les schémas de déverrouillage du dispositif, qui peuvent ensuite être exfiltrées vers le serveur C2.

Comme chaque installation reçoit un certificat distinct, les solutions antivirus mobiles traditionnelles qui s’appuient sur la correspondance de hachage ne peuvent pas signaler de façon fiable la charge utile. La détection dynamique basée sur le comportement devient donc indispensable pour identifier l’activité malveillante.

Défis de mesure de l’impact

Les chercheurs n’ont pas pu déterminer le nombre exact de victimes ni le préjudice financier résultant du vol d’identifiants. L’usage de canaux Telegram « dead‑drop » et de certificats par victime complique l’analyse quantitative, et aucune donnée publique ne décrit pour l’instant le taux de détection des produits de sécurité mobile existants face à cette campagne.

L’absence de chiffres concrets d’impact n’atténue en rien la sophistication technique de l’opération. La combinaison de génération de code assistée par IA, du support multilingue et d’une infrastructure d’affiliation robuste place RemControl parmi les menaces les plus notables du paysage des malwares bancaires mobiles.

Les implications pratiques pour les organisations incluent la nécessité d’imposer des contrôles stricts sur les permissions du Service d’Accessibilité, de surveiller l’usage du VPN sur les appareils d’entreprise et d’adopter une détection mobile basée sur le comportement capable de repérer les injections de superpositions anormales. Les équipes de sécurité doivent également scruter les canaux de malvertising sur les réseaux sociaux, car le vecteur d’infection initial provient de pages trompeuses liées à l’IPTV.