RemControl атакует Android и ворует банковские данные у пользователей
Новый Android-троян RemControl нацелен на банковские данные и уже действует в нескольких странах, включая Францию. Исследователи Group-IB обнаружили вредоносную программу, активную как минимум с мая 2026 года.
География кампаний широкая: Франция, Италия, Испания, Польша, Португалия, Канада и несколько стран Персидского залива. По данным Group-IB, злоумышленники атаковали более 30 финансовых организаций.
Пользователи iPhone в этой кампании не являются целью. RemControl предназначен для устройств на Android.
Как RemControl попадает на смартфон
Основная ставка сделана на приложения, установленные не из Google Play. Атакующие создают поддельные страницы, имитирующие TVTap, приложение IPTV, которого нет в официальном магазине Google.
Ссылки на такие страницы распространяются через мошенническую рекламу в F-book и I-gram, причем кампании ориентированы на людей, которые открывают эти платформы со смартфона.
После установки RemControl пытается отключить защитные механизмы Android. Для этого троян использует поддельный VPN, через который блокируется соединение с Google Play Protect.
Следующий этап гораздо серьезнее. Вредоносная программа злоупотребляет функциями специальных возможностей Android. Они предназначены для помощи пользователям с ограниченными возможностями, однако позволяют приложениям получать расширенный контроль над интерфейсом устройства.
Поддельный банк поверх настоящего
RemControl способен выводить фальшивый интерфейс поверх настоящего банковского приложения. Пользователь может считать, что вводит данные в привычную программу, тогда как введенная информация попадает к злоумышленникам.
В зоне риска находятся логины, PIN-коды и данные банковских карт. Троян также умеет наблюдать за экраном смартфона и записывать нажатия виртуальной клавиатуры.
Отдельно исследователи отмечают возможность перехватывать графические ключи разблокировки на устройствах Samsung, Xiaomi, Huawei, OPPO и OnePlus.
RemControl также пытается помешать собственной деинсталляции, поэтому удалить вредоносную программу после заражения может оказаться сложнее обычного.
Францию атакуют отдельно
Group-IB обнаружила две версии RemControl, специально адаптированные под пользователей во Франции. При этом общая кампания охватывает значительно больше стран и финансовых организаций.
Главное правило защиты здесь простое: не устанавливать Android-приложения из неизвестных источников, особенно если ссылка пришла из рекламы или неожиданного сообщения.
Отдельный тревожный сигнал, когда приложение без понятной причины требует доступ к функциям специальных возможностей. В такой ситуации приложение лучше закрыть, а при подозрении на компрометацию связаться с банком через официальный сайт или приложение.
