Onderzoekers van Group-IB hebben een nieuwe Android-bankentroyan geïdentificeerd, genaamd RemControl. De eerste sporen van deze malafide software werden in juli 2026 ontdekt. RemControl maakt gebruik van misleidende downloadpagina's die de uitstraling hebben van de Google Play Store, maar de aangeboden streaming-app is daar niet verkrijgbaar. Deze valse pagina's worden gehost op servers die door de aanvallers worden beheerd.

Een specifieke campagne richtte zich uitsluitend op gebruikers met Italiaanse IP-adressen, waarbij de malafide installer alleen werd aangeboden aan deze groep. Na installatie presenteert de troyan eerst een nagemaakte update-scherm voor de streaming-app. Vervolgens vraagt RemControl om toestemming voor VPN-toegang en gebruikt het een lokale verbinding om het netwerkverkeer van de Play Store te onderscheppen tijdens de installatie.

Na de succesvolle installatie verkrijgt RemControl toegang tot de Accessibility-functies van Android. Dit stelt de malware in staat om het scherm te lezen, screenshots te maken en interacties zoals tikken en vegen te simuleren. De troyan kan het scherm van een geïnfecteerd apparaat bekijken, invoer registreren en een operator op afstand de controle geven. Daarnaast kan het getypte tekst loggen, de elementen op het scherm inspecteren en informatie verzamelen om een ontgrendelpatroon te reconstrueren.

Wanneer een beoogde bank-app wordt geopend, toont RemControl een volledige kopie van de bankinterface. Slachtoffers kunnen in deze nagebootste omgeving hun pincode, mobiele bankcode of kaartvervaldatum invoeren. De malware biedt tevens functionaliteiten om gebruikers weg te sturen uit instellingenmenu's wanneer zij proberen de software te verwijderen.

Meer dan 30 financiële instellingen in Europa, het Midden-Oosten en Canada zijn het doelwit van de bijbehorende phishing-schermen. Italië en Frankrijk werden het meest getroffen. Er is geen bevestigd aantal slachtoffers gemeld.

De werking van RemControl suggereert een dienstverlenende structuur voor andere criminelen, met een controlepaneel voor het genereren van app-versies en het beheren van geïnfecteerde apparaten. De onderzochte samples werden geassocieerd met het affiliate-label UNKK.

Elke installatie wordt voorzien van een nieuw gegenereerd ondertekencertificaat, wat detectie op basis van reeds bekende bestanden bemoeilijkt. Bijgewerkte overlays stellen de campagne in staat om van doelwitten te wisselen. Serverdocumentatie suggereert dat AI mogelijk is ingezet bij de ontwikkeling, waarbij gestolen bankgegevens werden aangeduid als quizantwoorden en externe toegang als ouderlijk toezicht. De malware verkrijgt zijn serverlocatie via Telegram.

Gebruikers wordt aangeraden app-downloads via links of onbekende websites te vermijden, zelfs wanneer de pagina's officiële winkels nabootsen. Tevens wordt aangeraden om onverwachte verzoeken voor VPN- en Accessibility-toegang kritisch te beoordelen en nooit bankgegevens in te voeren op een plotseling verschijnend scherm.