RemControl Android 银行恶意软件作为 AI 增强的即服务平台针对银行应用

Group‑IB 研究人员将 RemControl 确认是一款此前未见的 Android 银行木马，运作方式为 Malware‑as‑a‑Service（MaaS）平台。首批样本出现于2026年7月，指挥控制（C2）基础设施自2026年5月起即已活跃。该服务包含一个联盟追踪 API，用于记录下游分发者的活动。

传播途径依赖于伪装成第三方 IPTV 应用 TVTap 的假冒网页。这些网页在2026年7月10日注册的域名上托管，并通过 Facebook 与 Instagram 的恶意广告进行推广。恶意负载仅向呈现本地 IP 地址且 User‑Agent 符合要求的 Android 设备投放，从而将曝光限制在目标受害者范围内。

为规避 Google Play Protect，投放器首先启动本地 VPN 服务，阻断指向 com.android.vending 包的网络流量，实质上关闭了 Play 商店的实时扫描功能。VPN 启动后，投放器生成唯一的签名证书并将其存入 Android Keystore，使基于哈希和证书的检测失效。

RemControl 请求获取 Accessibility Service 权限。获批后，它会监控前台应用。当检测到列表中的银行应用时，恶意软件会注入全屏 WebView 覆盖层，复制合法界面。该覆盖层捕获用户输入的 PIN 码、密码、卡片有效期以及手机解锁图案。

代码分析显示出人工智能辅助的痕迹。AI 助手为活跃的钓鱼页面生成了逐字内容，俄文注释以及其他痕迹表明覆盖层的 HTML 与部分恶意代码均在 AI 支持下编写。

规避技术与基础设施

基于 VPN 的绕过与每次安装生成唯一签名证书构成了双层规避策略。通过阻止 Play 商店扫描并为每位受害者生成独特证书，RemControl 能规避依赖静态特征的传统移动安全方案。

指挥控制通信通过死信 Telegram 频道完成。这种方式让运营者能够快速轮换 C2 端点，增加归因与下线的难度。

联盟生态系统与可能来源

联盟元数据在活动标签中出现化名 “UNKK”。命名规则以及使用死信 Telegram 链接的做法与 Medusa 僵尸网络的结构相似，暗示可能存在运营关联。源代码中的俄文注释指向该组织可能源自俄罗斯。

RemControl 的投放器支持三十多种语言，表明其有意向超出当前观察到的地区扩展。已有两种变体专门针对法国市场，针对三十余家金融机构进行攻击。

• VPN 服务阻断 Play 商店流量以规避 Google Play Protect
• 为每位受害者在 Android Keystore 中存储唯一签名证书
• Accessibility Service 监控前台应用并注入全屏 WebView 覆盖层
• AI 生成的 HTML 内容用于钓鱼覆盖层

AI 生成的覆盖层并非仅作装饰；它完整复制目标银行应用的视觉元素，使用户难以通过肉眼辨别。该覆盖层捕获完整的凭证信息，包括卡片细节和设备解锁图案，并可将这些数据外泄至 C2 服务器。

由于每次安装都会获得独特证书，依赖哈希匹配的传统移动杀毒软件难以持续标记该负载。因此，基于行为的动态检测成为识别此类恶意活动的关键手段。

影响测量的挑战

研究人员尚未能够确定受害者的确切数量或因凭证被盗导致的金融损失。Telegram 死信以及每位受害者独有的证书使得量化分析变得困难，且目前公开数据未描述现有移动安全产品对该活动的检测率。

缺乏具体的影响数据并未削弱该行动的技术复杂度。AI 辅助代码生成、多语言支持以及稳固的联盟基础设施的组合，使 RemControl 成为移动银行恶意软件领域的显著威胁。

对组织的实际意义在于必须严格控制 Accessibility Service 权限、监控企业设备上的 VPN 使用，并采用能够检测异常覆盖层注入的行为式移动威胁检测方案。安全团队还应审查社交平台上的恶意广告渠道，因为最初的感染向量来源于欺骗性的 IPTV 相关页面。