Los investigadores de Group-IB han documentado RemControl, un troyano bancario para Android hasta ahora desconocido que apunta a clientes de banca minorista en Europa occidental, Oriente Medio y Canadá. Según la empresa de ciberseguridad, se distribuye mediante páginas falsas de Google Play que suplantan a la app IPTV TVTap, y una de las vías confirmadas para atraer víctimas son campañas de anuncios maliciosos en la plataforma publicitaria de Meta.
Qué hace. Una vez instalado, RemControl abusa del Servicio de Accesibilidad de Android para colocar pantallas de acceso falsas, llamadas overlays, encima de las apps bancarias legítimas. También puede transmitir la pantalla en tiempo real, registrar lo que tecleas y dar al atacante control remoto total del móvil. Group-IB contabiliza más de 30 objetivos confirmados en apps de bancos de Italia, Francia, España, Polonia, Portugal, Canadá y algunos países del Consejo de Cooperación del Golfo.
Un cebo eficaz. TVTap es una popular app IPTV de terceros que no está en Google Play, así que sus usuarios están acostumbrados a descargarla de fuentes no oficiales. En una campaña aparentemente dirigida a Italia, Group-IB encontró seis direcciones de distribución con páginas en italiano que solo entregaban el archivo malicioso a móviles con IP italiana. Esas páginas incluían el código de seguimiento Meta Pixel, lo que sugiere que el operador pagaba anuncios para atraer tráfico.
Play Protect, desactivado. El instalador pide permiso para crear una VPN local y la usa para aislar de la red el tráfico de Google Play, impidiendo que Google Play Protect analice la instalación en tiempo real. Después firma cada copia con un certificado nuevo, de modo que ninguna instalación es idéntica a otra y se esquiva la detección por hash o certificado. Además, admite más de 30 idiomas, lo que apunta a una posible expansión a otros países.
Las huellas de la IA
Un panel expuesto. La documentación de la API del panel de control quedó expuesta por error durante el análisis y reveló un sistema de compilación y de seguimiento de afiliados propio de un modelo de malware como servicio. Según Group-IB, tanto esa documentación como las pantallas falsas muestran rastros de desarrollo asistido por IA, incluida una respuesta completa de un asistente de IA copiada tal cual en una página de phishing activa. También aparecieron comentarios en ruso en varios archivos.
Quién está detrás. Las primeras campañas se atribuyen a un actor identificado como UNKK gracias a etiquetas de afiliado y de campaña presentes en todas las muestras. Group-IB apunta además a un posible vínculo con la botnet de afiliados Medusa UNKN, por similitudes en nombres, métodos de distribución y el uso de mensajes cifrados en Telegram para localizar sus servidores. Las muestras datan de julio de 2026 y la infraestructura funciona desde mayo.
- No instales apps desde enlaces de anuncios ni páginas de descarga no oficiales, sobre todo de IPTV o streaming.
- Desconfía de cualquier app que pida permisos de Accesibilidad sin un motivo claro.
- No permitas crear una VPN a apps que no sean servicios de VPN.
- Si el acceso a tu app bancaria se ve raro tras instalar algo nuevo, contacta con tu banco.
Fuente: Group-IB
Deja una respuesta