Nowy trojan bankowy RemControl atakuje użytkowników Androida w Europie, a na liście celów znajduje się również Polska. Złośliwe oprogramowanie jest rozpowszechniane m.in. przez fałszywe strony wyglądające jak Google Play i podszywające się pod aplikację IPTV TVTap. Po instalacji może wyświetlać fałszywe ekrany logowania do banków, przechwytywać dane wpisywane przez użytkownika i próbować ograniczyć działanie Google Play Protect.
Z tego artykułu dowiesz się:
- jak RemControl trafia na telefony z Androidem,
- dlaczego fałszywy sklep Google Play może wyglądać wiarygodnie,
- w jaki sposób trojan próbuje przechwytywać dane bankowe,
- dlaczego dostęp do usług ułatwień dostępu jest tak istotny,
- co zrobić po zainstalowaniu podejrzanego pliku APK.
RemControl – co to za malware?
RemControl to nowy trojan bankowy przeznaczony na urządzenia z Androidem. Według analizy firmy Group-IB jego infrastruktura działa co najmniej od maja 2026 roku, a pierwsze próbki złośliwego oprogramowania pojawiły się w lipcu. W analizowanych wersjach znaleziono ponad 30 nakładek phishingowych przygotowanych do przechwytywania danych bankowych.
Ataki są skierowane m.in. przeciwko użytkownikom z Polski, Włoch, Francji, Hiszpanii i Portugalii, a także Kanady oraz wybranych krajów Bliskiego Wschodu. RemControl działa w modelu Malware-as-a-Service, czyli jako gotowe narzędzie, które może być udostępniane innym cyberprzestępcom.
To kolejny w krótkim czasie przykład złośliwego oprogramowania wymierzonego w użytkowników telefonów. Niedawno opisywaliśmy także RatHat, który również atakuje Androida i poluje na dane bankowe.
Atak zaczyna się od fałszywej aplikacji IPTV
Jedną z obserwowanych metod dystrybucji RemControl jest podszywanie się pod aplikację TVTap IPTV. Użytkownik trafia na stronę przypominającą Google Play i może odnieść wrażenie, że pobiera zwykłą aplikację ze znanego źródła. W rzeczywistości pobierany jest jednak plik APK instalowany poza oficjalnym sklepem.
W jednej z kampanii przestępcy dodatkowo sprawdzali lokalizację i typ urządzenia osoby odwiedzającej witrynę. Na stronach dystrybucyjnych znaleziono też identyfikatory Meta Pixel, co według badaczy wskazuje na wykorzystywanie reklam do kierowania potencjalnych ofiar na fałszywe strony.
To ważne, ponieważ taki atak nie musi zaczynać się od podejrzanego SMS-a lub wiadomości e-mail. Użytkownik może zobaczyć reklamę aplikacji, wejść na profesjonalnie wyglądającą stronę i samodzielnie pobrać plik.
Jak RemControl próbuje ograniczyć działanie Play Protect?
Szczególnie ciekawy jest sposób, w jaki malware próbuje utrudnić działanie zabezpieczeń Androida. Dropper może uruchomić lokalną usługę VPN i blokować ruch związany z usługami Google Play. W efekcie Play Protect może mieć utrudnione wykonanie bieżącej kontroli aplikacji.
Nie oznacza to, że Play Protect przestaje mieć sens. Nadal jest dodatkową warstwą ochrony. Problem pojawia się wtedy, gdy użytkownik sam instaluje aplikację z zewnętrznego pliku APK, a następnie przyznaje jej kolejne szerokie uprawnienia.
Fałszywy ekran banku może wyglądać jak prawdziwy
Jednym z podstawowych narzędzi RemControl są tzw. overlaye, czyli nakładki wyświetlane nad prawdziwymi aplikacjami. Użytkownik może więc otworzyć autentyczną aplikację banku, ale zobaczyć przygotowany przez malware ekran logowania.
| Etap | Co widzi użytkownik | Co może zrobić malware |
|---|---|---|
| Instalacja | Aplikację IPTV | Instaluje złośliwy komponent |
| Nadanie uprawnień | Systemowe pytanie o dostęp | Uzyskuje dodatkowe możliwości działania |
| Otwarcie banku | Ekran wyglądający jak logowanie | Wyświetla nakładkę phishingową |
| Wpisanie danych | Pozornie normalny formularz | Może przechwycić login, hasło lub PIN |
| Dalsze działanie telefonu | Brak oczywistych zmian | Komunikuje się z infrastrukturą atakującego |
Najgroźniejsze jest właśnie to, że sama aplikacja bankowa może być prawdziwa. Użytkownikowi trudniej wtedy zauważyć, że formularz wyświetlony nad nią nie należy do banku.
AI pomogła stworzyć część infrastruktury RemControl
W analizie Group-IB znalazł się jeszcze jeden nietypowy element. W jednej z aktywnych nakładek phishingowych pozostawiono kompletną odpowiedź wygenerowaną przez asystenta AI. Badacze znaleźli też ślady wykorzystania narzędzi AI przy tworzeniu panelu sterowania i dokumentacji infrastruktury.
Nie oznacza to, że sztuczna inteligencja samodzielnie przeprowadza ataki. Pokazuje jednak, że narzędzia generatywne mogą obniżyć próg wejścia przy tworzeniu elementów zaplecza kampanii phishingowych i malware.
Usługi ułatwień dostępu są szczególnie ważnym sygnałem
W przypadku mobilnego malware warto zwracać dużą uwagę na aplikacje żądające dostępu do Usług ułatwień dostępu Androida (Accessibility Services). Funkcja ta została zaprojektowana z myślą o osobach wymagających dodatkowej pomocy podczas korzystania z urządzenia, ale zapewnia aplikacji bardzo szerokie możliwości obserwowania i wykonywania działań w interfejsie systemu.
Jeśli prosty odtwarzacz IPTV, latarka, aplikacja z filmami albo inne niewielkie narzędzie nagle prosi o taki dostęp, powinno to wzbudzić podejrzenia.
Szczególnie niepokojące jest połączenie kilku sygnałów:
- aplikacja została pobrana jako APK ze strony internetowej,
- trzeba włączyć instalację z nieznanych źródeł,
- aplikacja prosi o dostęp do Accessibility,
- chce działać stale w tle,
- żąda uprawnień niezwiązanych z jej podstawową funkcją.
RemControl wykorzystuje Telegram do komunikacji
RemControl może pobierać zaszyfrowane informacje o serwerach command-and-control z kanałów Telegrama. Daje to operatorom możliwość stosunkowo łatwej zmiany infrastruktury. Jeżeli jeden serwer zostanie zablokowany, malware może otrzymać informację o kolejnym adresie bez konieczności tworzenia zupełnie nowej wersji aplikacji.
W kodzie części analizowanych nakładek znaleziono także rosyjskojęzyczne elementy. Sam ten fakt nie wystarcza jednak do wiarygodnego ustalenia tożsamości lub pochodzenia autorów zagrożenia.
Co zrobić, jeśli zainstalowałeś podejrzany APK?
Samo wejście na fałszywą stronę przypominającą Google Play nie oznacza jeszcze infekcji. Znacznie poważniejsza sytuacja zaczyna się po pobraniu i zainstalowaniu pliku APK.
Jeżeli podejrzana aplikacja została już zainstalowana:
- Nie otwieraj aplikacji bankowych na tym telefonie.
- Jeżeli aplikacja otrzymała dostęp do Accessibility, wyłącz go.
- Usuń podejrzaną aplikację.
- Uruchom skanowanie Google Play Protect.
- Sprawdź aplikacje mające zgodę na instalowanie programów z nieznanych źródeł.
- Z bezpiecznego urządzenia zmień hasła do najważniejszych kont.
- Jeżeli po instalacji logowałeś się do banku, skontaktuj się z bankiem i sprawdź historię operacji.
Jeśli nie masz pewności, czy telefon jest już czysty, pomocne będą również nasze poradniki: jak wykryć trojana w telefonie oraz jak usunąć trojana z telefonu.
W przypadku poważnego podejrzenia przejęcia telefonu bezpieczniejszym rozwiązaniem może być wykonanie kopii potrzebnych danych i przywrócenie urządzenia do ustawień fabrycznych, zamiast zakładać, że ręczne usunięcie jednej aplikacji zakończyło problem.
Jak chronić Androida przed podobnymi atakami?
Najprostsza zasada to nie instalować przypadkowych plików APK z reklam, komunikatorów i stron podszywających się pod sklepy z aplikacjami.
Warto pozostawić aktywne Play Protect i regularnie sprawdzać, które aplikacje mają dostęp do funkcji ułatwień dostępu. Sam wygląd strony również nie powinien być traktowany jako dowód jej wiarygodności. Fałszywa witryna może bardzo dokładnie odwzorowywać Google Play.
Znacznie ważniejsze jest sprawdzenie, skąd faktycznie pobierana jest aplikacja i czy instalację prowadzi oficjalny sklep Google. W przypadku aplikacji bankowych konsekwencje błędu mogą być znacznie poważniejsze niż samo zainfekowanie telefonu, ponieważ celem takich trojanów są bezpośrednio dane umożliwiające przejęcie kont i pieniędzy.
