Sebastian Juul
Trojaneren RemControl rammer kunder hos mere end 30 banker i Europa, Canada og Golfstaterne.
Angrebet starter med en falsk Google Play-side, der udgiver sig for at være TVTap, en populær tredjeparts-IPTV-app, som ikke findes i Googles officielle butik. Pakken distribueres via reklamer på Metas platforme, hvor cybersikkerhedsfirmaet Group-IB har sporet Meta Pixel-id’er på de ondsindede websider.
Trojaneren blev afsløret i september af Group-IB, og ifølge firmaets analyse rammer kampagnen bankkunder i Italien, Frankrig, Spanien, Polen, Portugal, Canada og flere Golf-lande. Primærmålene er Italien og Frankrig, men listen omfatter 30+ phishing-skabeloner til navngivne pengeinstitutter.
Snyder Google Play Protect med en VPN
Når brugeren installerer den falske app, beder den om tilladelse til at oprette en VPN-forbindelse. VPN’en bruges ikke til at skjule trafik, men til at rute Google Play Protects trafik ind i en tom tunnel. Dermed afskæres Googles indbyggede sikkerhedsscanner fra nettet og kan ikke tjekke, hvad der installeres bagefter.
Hver installation får desuden sit eget unikke signatur-certifikat, så almindelige hash-baserede sikkerhedsværktøjer heller ikke genkender filen.
I næste skridt beder appen om adgang til Androids Accessibility Service, en kraftfuld tilgængelighedsfunktion, der normalt bruges til at hjælpe brugere med handicap. Så snart adgangen gives, kan trojaneren overvåge, hvilken app brugeren åbner, og lægge en falsk fuldskærms-login-side oven på den rigtige bankapp. Phishing-indholdet hentes dynamisk fra bagmændenes servere og indsamler pinkoder, bankkoder og udløbsdatoer på betalingskort.
Streamer skærmen og blokerer afinstallation
Ud over overlægget kan RemControl også logge tastetryk, streame skærmbilleder i realtid og aflæse selve lås-op-mønsteret på telefonen. Teknikken virker på gængse Android-mærker som Samsung, Xiaomi, Huawei, OPPO og OnePlus.
Trojaneren forsvarer sig også aktivt. Opdager den, at brugeren åbner app-indstillinger eller en fabriks-nulstilling, klikker den automatisk væk fra skærmen, inden man når at afinstallere. Mekanismen genkender indstillingsmenuer på mere end 30 sprog.
AI har hjulpet med at bygge phishing-siderne
Group-IB bemærker, at dele af infrastrukturen er lavet med hjælp fra en AI-assistent. På én phishing-side var en komplet AI-svar-tekst ved en fejl efterladt i HTML-koden, inklusive forklarende noter og et tilbud om “yderligere justeringer”. Russiske kodekommentarer peger på russisktalende udviklere, og operatøren spores under kodenavnet UNKK med mulig forbindelse til den ældre Medusa-banktrojaner.
De første prøver af malwaren blev indleveret til VirusTotals database den 19. juli 2026, mens kommando-serverens domæne blev registreret allerede 12. maj.
Sådan undgår du at hoppe i fælden
- Hent kun apps fra Google Play eller andre officielle butikker, og undgå APK-filer fra sider, der blot efterligner Play-butikken
- Vær mistænksom over for streaming-apps, der kræver både VPN-adgang og Accessibility Service
- Hold Android og dine apps opdateret, og lad Google Play Protect være slået til
- Beder din bankapp pludselig om at logge ind igen efter en nylig installation af en gratis streaming-app, så kontakt banken via det nummer, der står på det fysiske kort
Group-IB har offentliggjort en liste over tekniske indikatorer, så it-sikkerhedsafdelinger kan tjekke mobilflåden for infektion.
