RemControl, el troyano bancario Android con IA, funciona como plataforma Malware‑as‑a‑Service dirigida a apps bancarias

Los investigadores de Group‑IB han identificado a RemControl como un troyano bancario Android nunca antes visto que funciona como una plataforma Malware‑as‑a‑Service (MaaS). Las primeras muestras datan de julio de 2026 y la infraestructura de comando y control (C2) está activa desde mayo de 2026. El servicio incluye una API de seguimiento de afiliados que registra la actividad de los distribuidores descendentes.

El vector de distribución se basa en páginas web falsificadas que imitan la aplicación de IPTV de terceros TVTap. Estas páginas se alojaron en dominios registrados el 10 de julio de 2026 y se promocionaron mediante campañas de malvertising en Facebook e Instagram. La carga maliciosa se entrega únicamente a dispositivos Android que presenten una dirección IP local y una cadena User‑Agent compatible, limitando la exposición a víctimas específicas.

Para eludir Google Play Protect, el dropper primero lanza un servicio VPN local que bloquea el tráfico de red destinado al paquete com.android.vending, desactivando efectivamente el escaneo en tiempo real de la Play Store. Una vez activa la VPN, el dropper genera un certificado de firma único y lo almacena en el Android Keystore, haciendo ineficaces las detecciones basadas en hash y en certificado.

RemControl solicita el permiso del Servicio de Accesibilidad. Una vez concedido, monitoriza la aplicación en primer plano. Cuando detecta una app bancaria incluida en su lista, el malware inyecta una superposición WebView a pantalla completa que reproduce la interfaz legítima. La superposición captura códigos PIN, contraseñas, fechas de caducidad de tarjetas e incluso los patrones de desbloqueo del smartphone introducidos por el usuario.

El análisis del código reveló rastros de asistencia por inteligencia artificial. Un asistente de IA generó contenido palabra por palabra para una página de phishing activa, y los comentarios en ruso junto a otros artefactos indican que el HTML de la superposición y partes del código malicioso fueron creados con apoyo de IA.

Técnicas de evasión e infraestructura

La evasión basada en VPN y la creación de un certificado de firma por instalación constituyen una estrategia de evasión en dos capas. Al impedir los escaneos de la Play Store y producir un certificado único para cada víctima, RemControl evita la detección por parte de soluciones de seguridad móvil tradicionales que dependen de firmas estáticas.

La comunicación de comando y control se gestiona a través de un canal Telegram de "dead‑drop". Este método permite al operador rotar rápidamente los puntos finales C2, complicando los esfuerzos de atribución y desmantelamiento.

Ecosistema de afiliados y posibles orígenes

Los metadatos de afiliación incluyen el seudónimo “UNKK” en las etiquetas de campaña. Las convenciones de nomenclatura y el uso de enlaces Telegram de "dead‑drop" se asemejan a la estructura del botnet Medusa, lo que sugiere un posible vínculo operativo. Los comentarios en ruso dentro del código fuente apuntan a un posible origen ruso del grupo.

El dropper de RemControl soporta más de treinta idiomas, lo que indica la intención de expandirse más allá de las regiones observadas hasta ahora. Se han creado dos variantes adaptadas específicamente para Francia, donde el malware apunta a más de treinta instituciones financieras.

• El servicio VPN bloquea el tráfico de la Play Store para evadir Google Play Protect
• Certificado de firma único almacenado en Android Keystore por víctima
• El Servicio de Accesibilidad monitoriza la app en primer plano e inyecta una superposición WebView a pantalla completa
• Contenido HTML generado por IA usado para la superposición de phishing

La superposición generada por IA no es meramente decorativa; reproduce exacta y fielmente los elementos visuales de las aplicaciones bancarias objetivo, dificultando que el usuario la detecte manualmente. La superposición captura un conjunto completo de datos de credenciales, incluidos los detalles de la tarjeta y los patrones de desbloqueo del dispositivo, que pueden exfiltrarse al servidor C2.

Debido a que cada instalación recibe un certificado distinto, las soluciones tradicionales de antivirus móvil que se basan en la coincidencia de hashes no pueden marcar la carga de forma consistente. Por ello, la detección basada en comportamiento dinámico se vuelve esencial para identificar la actividad maliciosa.

Desafíos para medir el impacto

Los investigadores no han podido determinar el número exacto de víctimas ni la pérdida financiera derivada del robo de credenciales. El uso de "dead‑drops" de Telegram y de certificados por víctima dificulta el análisis cuantitativo, y actualmente no existen datos públicos que describan la tasa de detección de los productos de seguridad móvil existentes contra esta campaña.

La ausencia de cifras concretas de impacto no resta sofisticación técnica a la operación. La combinación de generación de código asistida por IA, soporte multilingüe y una infraestructura de afiliados robusta posiciona a RemControl como una amenaza notable dentro del panorama de malware bancario móvil.

Las implicaciones prácticas para las organizaciones incluyen la necesidad de aplicar controles estrictos sobre los permisos del Servicio de Accesibilidad, monitorizar el uso de VPN en dispositivos corporativos y adoptar detección de amenazas móviles basada en comportamiento que pueda identificar inyecciones de superposiciones anómalas. Los equipos de seguridad también deben examinar los canales de malvertising en plataformas sociales, ya que el vector de infección inicial proviene de páginas engañosas relacionadas con IPTV.