RemControl: Trojan bancário Android alimentado por IA funciona como plataforma MaaS e mira aplicativos de bancos

Pesquisadores da Group‑IB identificaram o RemControl como um trojan bancário Android nunca antes visto, que opera como uma plataforma Malware‑as‑a‑Service (MaaS). As primeiras amostras datam de julho de 2026 e a infraestrutura de comando e controle (C2) está ativa desde maio de 2026. O serviço inclui uma API de rastreamento de afiliados que registra a atividade dos distribuidores downstream.

O vetor de distribuição baseia‑se em páginas falsas que imitam o aplicativo de IPTV de terceiros TVTap. Essas páginas foram hospedadas em domínios registrados em 10 de julho de 2026 e promovidas por meio de campanhas de malvertising no Facebook e Instagram. A carga maliciosa é entregue apenas a dispositivos Android que apresentam um endereço IP local e um User‑Agent compatível, limitando a exposição a vítimas específicas.

Para contornar o Google Play Protect, o dropper primeiro inicia um serviço VPN local que bloqueia todo o tráfego de rede destinado ao pacote com.android.vending, desativando efetivamente a varredura em tempo real da Play Store. Após a VPN estar ativa, o dropper gera um certificado de assinatura exclusivo e o armazena no Android Keystore, tornando ineficazes as detecções baseadas em hash ou em certificado.

RemControl solicita a permissão do Serviço de Acessibilidade. Uma vez concedida, ele monitora o aplicativo em primeiro plano. Quando detecta um aplicativo bancário listado, o malware injeta uma sobreposição WebView em tela cheia que reproduz a interface legítima. A sobreposição captura códigos PIN, senhas, datas de validade de cartões e até padrões de desbloqueio do smartphone inseridos pelo usuário.

A análise do código revelou vestígios de assistência por inteligência artificial. Um assistente de IA gerou conteúdo palavra‑por‑palavra para uma página de phishing ativa, e comentários em russo, além de outros artefatos, indicam que o HTML da sobreposição e partes do código malicioso foram criados com apoio de IA.

Técnicas de evasão e infraestrutura

A estratégia de evasão de duas camadas combina o bypass baseado em VPN e a criação de um certificado de assinatura por instalação. Ao impedir as varreduras da Play Store e gerar um certificado exclusivo para cada vítima, o RemControl escapa da detecção por soluções móveis tradicionais que dependem de assinaturas estáticas.

A comunicação de comando e controle é feita por meio de um canal Telegram de dead‑drop. Essa abordagem permite ao operador rotacionar rapidamente os pontos finais de C2, complicando a atribuição e os esforços de remoção.

Ecossistema de afiliados e possíveis origens

Os metadados de afiliação incluem o pseudônimo “UNKK” nas tags de campanha. Convenções de nomenclatura e o uso de links Telegram de dead‑drop lembram a estrutura da botnet Medusa, sugerindo um possível vínculo operacional. Comentários em russo no código‑fonte apontam para uma provável origem russa do grupo.

O dropper do RemControl oferece suporte a mais de trinta idiomas, indicando a intenção de expandir além das regiões já observadas. Duas variantes foram adaptadas especificamente para a França, onde o malware tem como alvo mais de trinta instituições financeiras.

• Serviço VPN bloqueia tráfego da Play Store para evadir o Google Play Protect
• Certificado de assinatura exclusivo armazenado no Android Keystore por vítima
• Serviço de Acessibilidade monitora app em primeiro plano e injeta sobreposição WebView em tela cheia
• Conteúdo HTML gerado por IA usado na sobreposição de phishing

A sobreposição gerada por IA não é meramente decorativa; ela reproduz exatamente os elementos visuais dos aplicativos bancários visados, dificultando a detecção manual pelos usuários. A sobreposição captura um conjunto completo de dados de credenciais, incluindo detalhes de cartões e padrões de desbloqueio do dispositivo, que podem ser exfiltrados para o servidor C2.

Como cada instalação recebe um certificado distinto, as soluções tradicionais de antivírus móvel que dependem de correspondência de hash não conseguem sinalizar consistentemente a carga maliciosa. Torna‑se, portanto, essencial o uso de detecção baseada em comportamento para identificar a atividade maliciosa.

Desafios na medição de impacto

Os pesquisadores ainda não conseguiram determinar o número exato de vítimas ou a perda financeira resultante do roubo de credenciais. O uso de dead‑drops no Telegram e de certificados por vítima dificulta a análise quantitativa, e não há dados públicos que descrevam a taxa de detecção dos produtos de segurança móvel existentes contra esta campanha.

A ausência de números concretos de impacto não diminui a sofisticação técnica da operação. A combinação de geração de código assistida por IA, suporte multilíngue e uma infraestrutura de afiliados robusta posiciona o RemControl como uma ameaça notável no cenário de malware bancário móvel.

Implicações práticas para organizações incluem a necessidade de impor controles rigorosos sobre permissões do Serviço de Acessibilidade, monitorar o uso de VPN em dispositivos corporativos e adotar detecção de ameaças móveis baseada em comportamento capaz de identificar injeções de sobreposições anômalas. Equipes de segurança também devem analisar canais de malvertising em plataformas sociais, já que o vetor inicial de infecção parte de páginas enganosas relacionadas a IPTV.