A Group-IB identificou um novo trojan bancário para Android batizado de RemControl, com amostras desde julho de 2026. O malware traz telas de phishing preparadas para mais de 30 instituições financeiras na Europa, no Oriente Médio e no Canadá, com Itália e França como alvos principais.
O golpe central é a sobreposição. Quando a vítima abre o aplicativo do banco, o RemControl exibe uma cópia em tela cheia daquela interface. A pessoa digita PIN, código de acesso ou validade do cartão na tela falsa, que se fecha e devolve o aplicativo verdadeiro, sem sinal do desvio.
As telas não vêm embutidas no aplicativo. São buscadas em servidores dos operadores, localizados por canais do Telegram, o que permite trocar de alvo sem reinfectar o aparelho.
A distribuição usa páginas que imitam a listagem do Google Play de um aplicativo de streaming, e a campanha italiana entregava o instalador apenas a visitantes com IP do país. Cada instalação recebe um certificado de assinatura novo, o que atrapalha a detecção.
Durante a instalação, o programa exibe uma falsa tela de atualização e pede permissão de VPN, usada para bloquear o tráfego da Play Store e contornar a verificação de segurança em tempo real. Em seguida solicita o acesso de acessibilidade do Android.
Com a acessibilidade concedida, os operadores leem a tela, capturam imagens, registram o texto digitado e executam toques à distância, inclusive para expulsar o usuário das configurações quando ele tenta remover o aplicativo. O malware ainda reconstrói o padrão de desbloqueio.
A investigação encontrou uma resposta de assistente de IA esquecida dentro de uma página de phishing ativa, e documentação que chamava os dados roubados de respostas de quiz e o acesso remoto de monitoramento parental. A Group-IB pondera que isso aponta apoio de IA no desenvolvimento, não no aparelho.
