RemControl Android-bankmalware werkt als AI‑verbeterd Malware‑as‑a‑Service‑platform gericht op bankapps

Group‑IB‑onderzoekers hebben RemControl geïdentificeerd als een tot nu toe onbekende Android‑banktrojan die functioneert als een Malware‑as‑a‑Service (MaaS)‑platform. De eerste monsters dateren uit juli 2026 en de command‑and‑control (C2)‑infrastructuur is actief sinds mei 2026. De dienst omvat een affiliate‑tracking‑API die de activiteit van downstream‑distributeurs registreert.

De distributievector maakt gebruik van vervalste webpagina’s die de derde‑partij IPTV‑applicatie TVTap nabootsen. Deze pagina’s werden gehost op domeinen die op 10 juli 2026 zijn geregistreerd en werden gepromoot via malvertising‑campagnes op Facebook en Instagram. De kwaadaardige payload wordt alleen aan Android‑apparaten geleverd die een lokaal IP‑adres en een compatibele User‑Agent‑string presenteren, waardoor de blootstelling wordt beperkt tot gerichte slachtoffers.

Om Google Play Protect te omzeilen, start de dropper eerst een lokale VPN‑service die netwerkverkeer naar het pakket com.android.vending blokkeert, waardoor de realtime‑scan van de Play Store effectief wordt uitgeschakeld. Nadat de VPN actief is, genereert de dropper een uniek ondertekeningscertificaat en slaat dit op in de Android Keystore, waardoor hash‑gebaseerde en certificaat‑gebaseerde detecties ineffectief worden.

RemControl vraagt om de Accessibility Service‑toestemming. Zodra deze is verleend, monitort de malware de voorgrond‑applicatie. Wanneer een vermelde bankapp wordt gedetecteerd, injecteert de malware een full‑screen WebView‑overlay die de legitieme interface reproduceert. De overlay legt PIN‑codes, wachtwoorden, vervaldatums van kaarten en zelfs smartphone‑ontgrendelpatronen vast die de gebruiker invoert.

Analyse van de code onthulde sporen van kunstmatige‑intelligentieondersteuning. Een AI‑assistent genereerde woord‑voor‑woord inhoud voor een actieve phishing‑pagina, en commentaren in het Russisch samen met andere artefacten duiden erop dat de overlay‑HTML en delen van de kwaadaardige code met AI‑hulp zijn geschreven.

Evasietechnieken en infrastructuur

De VPN‑gebaseerde omzeiling en het aanmaken van een per‑installatie ondertekeningscertificaat vormen samen een tweelaags‑evasiestrategie. Door Play Store‑scans te voorkomen en een uniek certificaat per slachtoffer te produceren, ontwijkt RemControl detectie door traditionele mobiele beveiligingsoplossingen die op statische signatures vertrouwen.

Communicatie met command‑and‑control wordt afgehandeld via een dead‑drop Telegram‑kanaal. Deze aanpak stelt de operator in staat om C2‑eindpunten snel te roteren, wat toeschrijving en verwijderingspogingen bemoeilijkt.

Affiliate‑ecosysteem en mogelijke oorsprong

De affiliatiemetadata bevat het pseudoniem “UNKK” in campagne‑tags. Naamgevingsconventies en het gebruik van dead‑drop Telegram‑links lijken op de structuur van het Medusa‑botnet, wat wijst op een potentiële operationele koppeling. Russische commentaren in de broncode wijzen op een mogelijke Russische oorsprong van de groep.

De dropper van RemControl ondersteunt meer dan dertig talen, wat duidt op een intentie om buiten de momenteel waargenomen regio’s uit te breiden. Twee varianten zijn specifiek afgestemd op Frankrijk, waar de malware meer dan dertig financiële instellingen target.

• VPN‑service blokkeert Play Store‑verkeer om Google Play Protect te omzeilen
• Uniek ondertekeningscertificaat opgeslagen in Android Keystore per slachtoffer
• Accessibility Service monitort voorgrond‑app en injecteert full‑screen WebView‑overlay
• AI‑gegenereerde HTML‑inhoud gebruikt voor phishing‑overlay

De AI‑gegenereerde overlay is niet louter decoratief; hij reproduceert de exacte visuele elementen van de doelbank‑applicaties, waardoor handmatige detectie door gebruikers moeilijk wordt. De overlay legt een volledige set inloggegevens vast, inclusief kaartgegevens en apparaat‑ontgrendelpatronen, die vervolgens naar de C2‑server kunnen worden geëxfiltreerd.

Omdat elke installatie een eigen certificaat ontvangt, kunnen traditionele mobiele‑antivirusoplossingen die op hash‑matching vertrouwen de payload niet consequent markeren. Het vertrouwen op dynamische, gedrag‑gebaseerde detectie wordt daarom essentieel om de kwaadaardige activiteit te identificeren.

Uitdagingen bij impactmeting

Onderzoekers hebben het exacte aantal slachtoffers of de financiële schade door diefstal van inloggegevens niet kunnen bepalen. Het gebruik van Telegram‑dead‑drops en per‑slachtoffer certificaten belemmert kwantitatieve analyse, en er zijn momenteel geen publieke gegevens die de detectiegraad van bestaande mobiele beveiligingsproducten tegen deze campagne beschrijven.

Het ontbreken van concrete impactcijfers doet niets af aan de technische verfijning van de operatie. De combinatie van AI‑ondersteunde codegeneratie, meertalige ondersteuning en een robuuste affiliate‑infrastructuur positioneert RemControl als een opvallende bedreiging binnen het landschap van mobiele bankmalware.

Praktische implicaties voor organisaties omvatten de noodzaak om strikte controles in te voeren op Accessibility Service‑toestemmingen, VPN‑gebruik op zakelijke apparaten te monitoren, en gedrag‑gebaseerde mobiele bedreigingsdetectie te adopteren die abnormale overlay‑injecties kan opsporen. Beveiligingsteams moeten bovendien malvertising‑kanalen op sociale platforms nauwlettend in de gaten houden, aangezien de initiële infectievector voortkomt uit misleidende IPTV‑gerelateerde pagina’s.