Um novo malware para Android, denominado RemControl, foi identificado como uma ameaça significativa ao roubar dados bancários de usuários na Europa e no Canadá. Pesquisadores da empresa de cibersegurança Group-IB relataram que a plataforma de malware-as-a-service (MaaS) começou a operar em maio de 2026, com os primeiros exemplos detectados em julho do mesmo ano. O malware se disfarça como uma atualização do aplicativo TVTap IPTV, popular entre usuários que buscam alternativas fora da Google Play Store.
O RemControl tem como alvo clientes de mais de 30 instituições financeiras em países como Itália, França, Espanha, Polônia, Portugal e Canadá, além de algumas nações do Oriente Médio. A distribuição do malware ocorre por meio de páginas falsas que imitam a Google Play Store, utilizando técnicas de geofencing para direcionar usuários de IPs específicos, como os italianos, para sites maliciosos. Essas páginas contêm códigos de rastreamento do Meta Pixel, indicando que os operadores podem estar utilizando a plataforma de anúncios do Meta para atrair vítimas para os downloads.
Uma vez que o usuário instala o malware, ele solicita permissões para ativar um serviço VPN que bloqueia o tráfego do Google Play, impedindo que o Play Protect realize verificações em tempo real. O malware então se instala em dispositivos, criando um novo certificado de assinatura para evitar a detecção baseada em hashes de arquivos. Além disso, o RemControl solicita permissões de Acessibilidade, que são frequentemente exploradas por trojans bancários para obter controle total sobre o dispositivo.
Com as permissões concedidas, o RemControl pode exibir telas de login falsas sobre aplicativos bancários legítimos, capturando PINs, códigos de acesso e datas de validade de cartões. O malware é capaz de enviar capturas de tela em tempo real para os atacantes, registrar cliques e textos digitados, além de permitir controle remoto sobre o dispositivo. Ele também pode capturar as coordenadas do padrão de desbloqueio em dispositivos de várias marcas, como Samsung e Xiaomi.
Um aspecto notável do RemControl é a evidência de que sua infraestrutura foi desenvolvida com assistência de inteligência artificial. Documentação acessada durante a investigação revelou que partes significativas do backend e dos overlays de phishing foram criadas com a ajuda de um assistente de IA, que aparentemente não tinha consciência do que estava sendo desenvolvido. Isso levanta preocupações sobre o uso de tecnologias avançadas em atividades maliciosas.
O malware é oferecido como um serviço, permitindo que outros criminosos o utilizem para suas campanhas. A origem dos operadores ainda não está clara, mas alguns arquivos de HTML analisados continham comentários em russo, sugerindo que pelo menos parte do código foi escrito por falantes dessa língua. O operador do RemControl é rastreado como UNKK, e há suspeitas de uma conexão com o trojan bancário Medusa.
Os especialistas recomendam que os usuários evitem baixar arquivos APK de fontes não confiáveis e realizem verificações regulares com o Play Protect. Além disso, é aconselhável não conceder permissões de Acessibilidade a aplicativos que não necessitam delas para funções de acessibilidade.
Com o aumento das ameaças cibernéticas, a expectativa é que novas variantes do RemControl possam surgir, assim como outras campanhas de malware que utilizam técnicas semelhantes. A evolução das táticas de ataque e a integração de inteligência artificial no desenvolvimento de malware exigem vigilância contínua por parte de usuários e especialistas em segurança.
Siga a HACKBR e receba as notícias de cibersegurança e tecnologia no seu feed: Instagram @hackbrnews