新型 RemControl Android 银行木马瞄准欧洲和加拿大用户

一个名为 RemControl 的新型 Android 恶意软件即服务 (MaaS) 平台正通过冒充 TVTap IPTV 应用的恶意广告行动瞄准用户。

尽管该基础设施至少自 5 月起就已活跃，但首批样本于 7 月被观察到，其中包含 30 多个旨在窃取银行凭据的网络钓鱼覆盖层。

网络安全公司 Group-IB 的研究人员表示，该恶意软件瞄准欧洲（意大利、法国、西班牙、波兰、葡萄牙）、加拿大以及中东国家的用户。

在其中一个覆盖层中，该恶意软件显示了一条 AI 助手回复，这强烈表明它是在 AI 模型的帮助下构建的。

RemControl 通过冒充 TVTap IPTV 应用的假冒 Google Play 页面分发，至少有一场意大利行动使用了地理围栏和移动端 User-Agent 检查。

这些恶意站点包含 Meta Pixel 跟踪 ID，Group-IB 认为这暗示运营者滥用了 Meta 的广告生态系统来将受害者引向下载页面。

启动时，该投放器会启动一项 VPN 服务，阻止来自 Google Play 服务的流量，从而阻止 Play Protect 对已知恶意软件执行实时检查。

这一功能也在 ToxicPanda 恶意软件的最新版本中被观察到，后者是一个规模大得多的行动，使用网络钓鱼覆盖层针对 16 个国家使用的 349 个金融、加密货币和数字钱包应用。

在安装期间，该恶意软件请求批准无障碍服务 (Accessibility Service) 权限。

如果所请求的权限被授予，RemControl 可以执行以下操作：

• 在合法银行应用之上显示全屏网络钓鱼覆盖层，并窃取 PIN 码、银行验证码、银行卡有效期和凭据
• 从命令与控制 (C2) 基础设施动态接收新的银行目标
• 向运营者实时流式传输屏幕截图和完整的 Android 无障碍/UI 树
• 记录跨应用中的点击、文本更改、焦点事件和其他用户输入
• 远程执行点按、滑动、滚动、手势、长按和文本注入
• 在多个 OEM 厂商（包括三星、小米、华为、OPPO、一加和原生 Android）上捕获 Android 图案锁坐标
• 通过检测受害者何时进入应用管理、无障碍或恢复出厂设置界面并自动退出来防止被卸载

RemControl 从 Telegram 频道获取加密的 C2 信息，因此它可以在基础设施受干扰时动态轮换。

Group-IB 在最初的 C2 代理中发现了暴露的 FastAPI 文档，其中揭示了该恶意软件用于获取银行覆盖层和提交被窃凭据的端点。

RemControl 背后威胁行为者的来源尚不清楚，但研究人员在一些覆盖层的 HTML 文件中发现了俄语，这表明至少其中一部分的开发者是讲俄语的人。

基于所分析样本中的一个共同标识符，研究人员将该 RemControl 运营者追踪为 UNKK，并怀疑其与 Medusa 银行木马存在关联。

建议 Android 用户避免从 Google Play 之外下载 APK 文件，除非他们明确信任发布者。

定期进行 Play Protect 扫描，并拒绝那些并非出于无障碍目的而需要无障碍服务权限的应用所提出的权限请求，也是推荐的安全做法。