RemControl: malware bancário Android com IA funciona como plataforma MaaS e mira aplicações financeiras

Investigadores da Group‑IB identificaram o RemControl como um trojan bancário Android nunca antes visto, que opera como uma plataforma Malware‑as‑a‑Service (MaaS). As primeiras amostras datam de julho de 2026 e a infraestrutura de comando e controlo (C2) está ativa desde maio de 2026. O serviço inclui uma API de rastreamento de afiliados que regista a atividade dos distribuidores descendentes.

O vetor de distribuição baseia‑se em páginas web falsificadas que imitam a aplicação de IPTV de terceiros TVTap. Estas páginas foram alojadas em domínios registados a 10 de julho de 2026 e promovidas através de campanhas de malvertising no Facebook e Instagram. O payload malicioso é entregue apenas a dispositivos Android que apresentem um endereço IP local e uma string User‑Agent compatível, limitando a exposição a vítimas específicas.

Para contornar o Google Play Protect, o dropper primeiro lança um serviço VPN local que bloqueia o tráfego de rede destinado ao pacote com.android.vending, desativando efetivamente a análise em tempo real da Play Store. Depois de a VPN estar ativa, o dropper gera um certificado de assinatura único e armazena‑o no Android Keystore, tornando ineficazes as deteções baseadas em hash ou em certificado.

O RemControl solicita a permissão do Serviço de Acessibilidade. Uma vez concedida, monitoriza a aplicação em primeiro plano. Quando uma aplicação bancária listada é detectada, o malware injecta uma sobreposição WebView em ecrã‑inteiro que reproduz a interface legítima. A sobreposição captura códigos PIN, palavras‑passe, datas de validade de cartões e até os padrões de desbloqueio do smartphone introduzidos pelo utilizador.

A análise do código revelou vestígios de assistência por inteligência artificial. Um assistente de IA gerou conteúdo palavra‑por‑palavra para uma página de phishing ativa, e comentários em russo, juntamente com outros artefactos, indicam que o HTML da sobreposição e partes do código malicioso foram criados com apoio da IA.

Técnicas de evasão e infraestrutura

A estratégia de bypass baseada em VPN e a criação de um certificado de assinatura por instalação constituem uma abordagem de evasão em duas camadas. Ao impedir as análises da Play Store e ao produzir um certificado único para cada vítima, o RemControl escapa à deteção por soluções de segurança móvel tradicionais que dependem de assinaturas estáticas.

A comunicação de comando e controlo é realizada através de um canal Telegram de "dead‑drop". Esta abordagem permite ao operador rodar rapidamente os pontos finais C2, dificultando a atribuição e os esforços de remoção.

Ecossistema de afiliados e possíveis origens

Os metadados de afiliação incluem o pseudónimo “UNKK” nas etiquetas de campanha. Convenções de nomenclatura e o uso de links Telegram de "dead‑drop" assemelham‑se à estrutura da botnet Medusa, sugerindo uma possível ligação operacional. Comentários em russo no código‑fonte apontam para uma provável origem russa do grupo.

O dropper do RemControl suporta mais de trinta idiomas, indicando a intenção de expandir para além das regiões atualmente observadas. Dois variantes foram adaptadas especificamente para a França, onde o malware tem como alvo mais de trinta instituições financeiras.

• Serviço VPN bloqueia o tráfego da Play Store para evadir o Google Play Protect
• Certificado de assinatura único armazenado no Android Keystore por vítima
• Serviço de Acessibilidade monitoriza a aplicação em primeiro plano e injecta sobreposição WebView em ecrã‑inteiro
• Conteúdo HTML gerado por IA usado na sobreposição de phishing

A sobreposição gerada por IA não é meramente decorativa; reproduz exatamente os elementos visuais das aplicações bancárias visadas, tornando difícil a deteção manual pelos utilizadores. A sobreposição captura um conjunto completo de dados de credenciais, incluindo detalhes de cartões e padrões de desbloqueio do dispositivo, que podem ser exfiltrados para o servidor C2.

Como cada instalação recebe um certificado distinto, as soluções de antivírus móvel que dependem de correspondência de hash não conseguem sinalizar consistentemente o payload. Assim, a deteção baseada em comportamento dinâmico torna‑se essencial para identificar a atividade maliciosa.

Desafios na medição de impacto

Os investigadores ainda não conseguiram determinar o número exato de vítimas nem a perda financeira resultante do roubo de credenciais. O uso de "dead‑drops" no Telegram e de certificados por vítima dificulta a análise quantitativa, e não há dados públicos que descrevam a taxa de deteção dos produtos de segurança móvel existentes contra esta campanha.

A ausência de cifras concretas de impacto não diminui a sofisticação técnica da operação. A combinação de geração de código assistida por IA, suporte multilingue e uma infraestrutura de afiliados robusta coloca o RemControl como uma ameaça notável no panorama de malware bancário móvel.

Implicações práticas para as organizações incluem a necessidade de impor controlos rigorosos sobre as permissões do Serviço de Acessibilidade, monitorizar o uso de VPN em dispositivos corporativos e adotar deteção de ameaças móveis baseada em comportamento que possa identificar injeções anómalas de sobreposições. As equipas de segurança devem também analisar canais de malvertising nas plataformas sociais, uma vez que o vetor de infeção inicial provém de páginas enganosas relacionadas com IPTV.