RemControl Android 銀行トロイの木馬、AI 強化型 MaaS プラットフォームとして銀行アプリを標的に

Group‑IB の研究者は、RemControl をこれまでに見られなかった Android 銀行トロイの木馬であり、Malware‑as‑a‑Service（MaaS）プラットフォームとして機能すると特定しました。最初のサンプルは 2026 年 7 月に確認され、コマンド＆コントロール（C2）インフラは 2026 年 5 月から稼働しています。このサービスには、下流の配布者の活動を記録するアフィリエイト追跡 API が含まれます。

配布ベクターは、サードパーティの IPTV アプリ TVTap を模倣した偽装ウェブページに依存しています。これらのページは 2026 年 7 月 10 日に登録されたドメイン上にホストされ、Facebook と Instagram のマルバタイジングキャンペーンで宣伝されました。悪意あるペイロードは、ローカル IP アドレスと互換性のある User‑Agent 文字列を提示した Android デバイスにのみ配信され、標的被害者への露出を限定します。

Google Play Protect を回避するため、ドロッパーはまずローカル VPN サービスを起動し、パッケージ com.android.vending 宛てのネットワークトラフィックを遮断します。これにより Play ストアのリアルタイムスキャンが事実上無効化されます。VPN が有効になると、ドロッパーはユニークな署名証明書を生成し、Android Keystore に保存するため、ハッシュベースや証明書ベースの検知が効かなくなります。

RemControl はアクセシビリティサービスの権限を要求します。許可されると、前景アプリケーションを監視し、リストにある銀行アプリが検出されると、マルウェアは全画面 WebView オーバーレイを注入し、正規のインターフェースを再現します。このオーバーレイは PIN コード、パスワード、カード有効期限、さらにはスマートフォンのロック解除パターンまで捕捉します。

コード解析により、人工知能支援の痕跡が明らかになりました。AI アシスタントがアクティブなフィッシングページ用に逐語的コンテンツを生成し、ロシア語のコメントやその他のアーティファクトがオーバーレイ HTML と悪意あるコードの一部が AI の助けを得て作成されたことを示しています。

回避技術とインフラストラクチャ

VPN ベースの回避とインストールごとの署名証明書作成は、二層の回避戦略を構成します。Play ストアのスキャンを防ぎ、被害者ごとにユニークな証明書を生成することで、従来の静的シグネチャに依存するモバイルセキュリティソリューションの検知を回避します。

コマンド＆コントロール通信は、デッドドロップ Telegram チャネルを通じて行われます。この手法により、オペレーターは C2 エンドポイントを迅速にローテーションでき、帰属と削除作業が困難になります。

アフィリエイトエコシステムと潜在的起源

アフィリエイトメタデータにはキャンペーンタグに「UNKK」というペンネームが含まれます。命名規則とデッドドロップ Telegram リンクの使用は Medusa ボットネットの構造に類似しており、運用上のリンクが示唆されます。ソースコード内のロシア語コメントは、グループがロシア起源である可能性を示しています。

RemControl のドロッパーは 30 以上の言語をサポートしており、現在観測されている地域を超えて拡大する意図がうかがえます。2 つの変種はフランス向けに特化されており、同マルウェアは 30 以上の金融機関を標的にしています。

• VPN サービスが Play ストアへのトラフィックをブロックし、Google Play Protect を回避
• 被害者ごとに Android Keystore に保存されるユニークな署名証明書
• アクセシビリティサービスが前景アプリを監視し、全画面 WebView オーバーレイを注入
• AI 生成 HTML コンテンツがフィッシングオーバーレイに使用

AI 生成オーバーレイは単なる装飾ではなく、標的銀行アプリの視覚要素を正確に再現し、ユーザーが手動で検知することを困難にします。このオーバーレイはカード情報やデバイスのロック解除パターンを含む完全な認証データを取得し、C2 サーバーへ外部送信します。

各インストールが個別の証明書を受け取るため、ハッシュマッチングに依存する従来型モバイルアンチウイルスはペイロードを一貫してフラグ付けできません。そのため、動的かつ振る舞いベースの検知が悪意ある活動の特定に不可欠となります。

インパクト測定の課題

研究者は被害者数や認証情報窃盗による金銭的損失の正確な数値を特定できていません。Telegram のデッドドロップと被害者ごとの証明書使用が定量分析を妨げており、現時点でこのキャンペーンに対する既存モバイルセキュリティ製品の検知率に関する公的データはありません。

具体的なインパクト数値が不明でも、技術的洗練度は低くありません。AI 支援コード生成、多言語対応、堅牢なアフィリエイトインフラの組み合わせにより、RemControl はモバイル銀行マルウェア領域で顕著な脅威となっています。

組織に対する実務的な示唆としては、アクセシビリティサービス権限の厳格な管理、企業デバイスにおける VPN 使用の監視、異常なオーバーレイ注入を検知できる振る舞いベースのモバイル脅威検知の導入が必要です。また、感染経路が偽装 IPTV ページに起因するため、ソーシャルプラットフォーム上のマルバタイジングチャネルの精査も重要です。