RemControl Android 은행 악성코드, AI 기반 Malware‑as‑Service 플랫폼으로 은행 앱을 표적화

Group‑IB 연구원들은 RemControl을 이전에 보지 못한 Android 은행 트로이목으로 확인했으며, 이는 Malware‑as‑Service(MaaS) 플랫폼으로 운영됩니다. 최초 샘플은 2026년 7월에 발견되었고, 명령‑및‑제어(C2) 인프라는 2026년 5월부터 가동되었습니다. 이 서비스는 하위 배포자의 활동을 기록하는 제휴 추적 API를 포함하고 있어, 악성코드 배포 체계가 체계적으로 관리되고 있음을 보여줍니다.

배포 경로는 가짜 웹 페이지를 이용하는데, 이 페이지들은 서드파티 IPTV 애플리케이션인 TVTap을 모방합니다. 해당 페이지들은 2026년 7월 10일에 등록된 도메인에 호스팅되었으며, Facebook과 Instagram에서 진행된 악성 광고 캠페인을 통해 홍보되었습니다. 악성 페이로드는 로컬 IP 주소를 보유하고 호환되는 User‑Agent 문자열을 전송하는 Android 기기에만 전달되므로, 공격자는 목표 대상에게만 정밀하게 접근할 수 있습니다.

Google Play Protect를 우회하기 위해 드롭퍼는 먼저 로컬 VPN 서비스를 실행합니다. 이 VPN은 패키지 com.android.vending으로 향하는 모든 네트워크 트래픽을 차단해 Play Store의 실시간 스캔을 사실상 무력화시킵니다. VPN이 활성화된 뒤, 드롭퍼는 고유한 서명 인증서를 생성하고 이를 Android Keystore에 저장합니다. 이 과정은 해시 기반 및 인증서 기반 탐지를 무효화시켜, 전통적인 정적 시그니처 방식의 보안 솔루션이 해당 악성코드를 식별하기 어렵게 만듭니다.

RemControl은 접근성 서비스(Accessibility Service) 권한을 요청합니다. 사용자가 이를 허용하면, 악성코드는 전면에 실행 중인 애플리케이션을 모니터링합니다. 사전에 정의된 은행 앱이 감지되면, 악성코드는 전체 화면 WebView 오버레이를 주입해 정식 인터페이스를 그대로 재현합니다. 이 오버레이는 사용자가 입력하는 PIN 코드, 비밀번호, 카드 유효기간, 심지어 스마트폰 잠금 해제 패턴까지 모두 캡처합니다.

코드 분석 결과, 인공지능 지원 흔적이 발견되었습니다. AI 어시스턴트가 활성 피싱 페이지의 텍스트를 단어 단위로 생성했으며, 러시아어 주석과 기타 아티팩트는 오버레이 HTML 및 악성 코드 일부가 AI 도구를 활용해 작성되었음을 시사합니다.

회피 기법 및 인프라

VPN 기반 회피와 설치당 고유 서명 인증서 생성은 두 단계의 회피 전략을 형성합니다. Play Store 스캔을 차단하고, 각 피해자마다 독특한 인증서를 발급함으로써, 정적 시그니처에 의존하는 기존 모바일 보안 솔루션은 RemControl을 탐지하지 못합니다.

명령‑및‑제어 통신은 ‘dead‑drop’ 텔레그램 채널을 통해 이루어집니다. 이 방식은 운영자가 C2 엔드포인트를 빠르게 교체할 수 있게 해, 귀속 및 차단 작업을 복잡하게 만듭니다.

제휴 생태계와 가능한 기원

제휴 메타데이터에는 캠페인 태그에 ‘UNKK’라는 가명이 포함되어 있습니다. 명명 규칙과 dead‑drop 텔레그램 링크 사용 방식은 Medusa 봇넷 구조와 유사해, 운영 상 연관성이 있을 가능성을 제기합니다. 소스 코드 내 러시아어 주석은 이 그룹이 러시아 출신일 가능성을 시사합니다.

RemControl의 드롭퍼는 30개가 넘는 언어를 지원해 현재 관찰된 지역을 넘어 확장하려는 의도를 보여줍니다. 두 개의 변종은 프랑스를 목표로 맞춤 설계되었으며, 이 악성코드는 30개가 넘는 금융 기관을 표적화하고 있습니다.

• VPN 서비스가 Play Store 트래픽을 차단해 Google Play Protect를 회피
• 피해자당 Android Keystore에 저장되는 고유 서명 인증서
• 접근성 서비스가 전면 앱을 감시하고 전체 화면 WebView 오버레이를 주입
• AI‑생성 HTML 콘텐츠가 피싱 오버레이에 사용

AI가 생성한 오버레이는 단순히 시각적인 장식이 아니라, 대상 은행 애플리케이션의 정확한 시각 요소를 복제합니다. 이로 인해 사용자는 오버레이와 정식 앱을 구분하기 어렵고, 오버레이는 카드 상세 정보와 기기 잠금 해제 패턴까지 포함한 전체 자격 증명 데이터를 캡처해 C2 서버로 전송합니다.

각 설치마다 고유 인증서를 발급받기 때문에, 해시 매칭에 의존하는 기존 모바일 안티바이러스 솔루션은 일관된 탐지를 수행할 수 없습니다. 따라서 동적 행동 기반 탐지가 악성 활동을 식별하는 데 필수적이며, 보안 담당자는 이러한 행동을 감시할 수 있는 역량을 강화해야 합니다.

영향 측정의 어려움

연구진은 현재까지 정확한 피해자 수나 탈취된 자격 증명으로 인한 금전적 손실 규모를 파악하지 못했습니다. 텔레그램 dead‑drop과 피해자별 인증서 사용은 정량적 분석을 방해하며, 기존 모바일 보안 제품이 이 캠페인에 대해 어느 정도 탐지율을 보이는지에 대한 공개 데이터도 존재하지 않습니다.

구체적인 영향 수치가 부족하다고 해서 기술적 정교함이 약화되는 것은 아닙니다. AI 지원 코드 생성, 다국어 지원, 견고한 제휴 인프라가 결합된 RemControl은 모바일 은행 악성코드 분야에서 눈여겨볼 만한 위협으로 부상하고 있습니다.

조직이 실천해야 할 구체적 조치는 접근성 서비스 권한에 대한 엄격한 제어, 기업 기기에서 VPN 사용 모니터링, 그리고 비정상적인 오버레이 주입을 탐지할 수 있는 행동 기반 모바일 위협 탐지 솔루션 도입입니다. 또한 초기 감염 경로가 IPTV 관련 사기 페이지에서 시작되므로, 소셜 플랫폼상의 악성 광고 채널을 면밀히 조사하는 것이 필수적입니다.