Pesquisadores da Group-IB identificaram um trojan bancário Android até então não documentado, chamado RemControl pelo próprio operador, que injeta telas falsas sobre aplicativos de banco, transmite a tela do aparelho em tempo real e entrega controle remoto total ao invasor. Mais de 30 instituições financeiras da Europa Ocidental — Portugal incluída —, do Oriente Médio e do Canadá estão na lista de alvos. A ação prioritária é dupla: bloquear instalações de aplicativos fora da loja oficial em dispositivos gerenciados e tratar a concessão de permissão de acessibilidade por um aplicativo recém-instalado como incidente em andamento.
Como a isca chega ao usuário
A distribuição usa páginas falsas da Google Play Store que imitam o TVTap, aplicativo de IPTV popular que não existe na loja oficial — o que acostumou o público a procurá-lo em fontes alternativas. As páginas filtram o visitante por User-Agent e geolocalização de IP: na campanha contra usuários italianos, a Group-IB listou seis URLs de distribuição que só entregam o APK a celulares com IP italiano. Os dois domínios principais da operação foram registrados no mesmo dia, 10 de julho de 2026, poucos dias antes de as primeiras amostras aparecerem no VirusTotal, em 19 de julho de 2026.
As páginas de download embutem dois identificadores de Meta Pixel, o que indica campanhas de malvertising com anúncios na plataforma da Meta como um dos canais de entrega. Para a defesa, isso muda o cenário: a vítima pode chegar ao APK por um anúncio pago em rede legítima, e não por navegação em sites obscuros — filtro de reputação de domínio sozinho não segura essa cadeia.
Overlays construídos com IA
Concedida a permissão de acessibilidade, o RemControl monitora qual aplicativo está em primeiro plano e, quando ele corresponde a um item da lista de alvos baixada do servidor de comando, infla um WebView de tela cheia sobre o aplicativo legítimo do banco. O conteúdo de fraude não fica armazenado no aparelho: cada overlay é servido dinamicamente pelo servidor e o alvo pode ser alterado a qualquer momento sem nova infecção — um dispositivo comprometido hoje pode ser redirecionado amanhã para outra instituição da lista.
Os overlays coletam código PIN, códigos de mobile banking e data de validade do cartão, conforme a instituição visada. Ao enviar as credenciais, a vítima recebe uma resposta do servidor que fecha a tela falsa e devolve o app real do banco à frente; do ponto de vista do usuário, nada aconteceu. A investigação encontrou artefatos de desenvolvimento assistido por IA no painel do operador e nas páginas de fraude, incluindo uma resposta completa de assistente de IA deixada literalmente em uma página ativa servida a vítimas bancárias. Comentários em russo no HTML de alguns overlays indicam que parte das telas foi escrita por um falante nativo.
Além do overlay, o malware transmite capturas de tela em WEBP e a árvore completa de interface da janela ativa por WebSocket, registra cliques, digitação e seleção em todos os aplicativos com marcação de tempo em milissegundos e consegue reconstruir o padrão de desbloqueio do aparelho extraindo as coordenadas dos componentes de tela em dez implementações OEM, incluindo Samsung One UI, Xiaomi MIUI e Huawei. A autodefesa cobre mais de 30 idiomas: quando a vítima navega para telas de gerenciamento de aplicativos ou de restauração de fábrica, o malware dispara uma navegação de volta antes que ela consiga interagir.
Por que a detecção falhou
O dropper executa três operações em sequência antes de instalar o payload. Primeiro pede a permissão de serviço VPN e sobe um túnel local que corta todo o tráfego do aplicativo da Google Play Store, isolando o Google Play Protect da rede durante a instalação. Depois gera uma chave nova no Android Keystore e assina o payload com um certificado exclusivo a cada instalação, de suporte genérico — duas instalações nunca produzem o mesmo certificado, o que derrota detecção por hash e por assinatura. Por fim, usa a API de instalação por sessão do Android para instalar e abrir o payload.
O endereço do servidor de comando não está compilado no APK: é resolvido dinamicamente por um dead-drop no Telegram, o que permite girar a infraestrutura sem reconstruir o malware. Gerações recentes do payload adicionam um packer que criptografa o código DEX e deriva a chave de descriptografia do certificado de assinatura do próprio build. A documentação da API do painel, exposta por engano durante a análise, revelou o conjunto completo de comandos, o gerenciamento de overlays, o rastreamento de afiliados e a infraestrutura de builds — a estrutura clássica de uma plataforma de malware-as-a-service. O ator das primeiras campanhas é rastreado como UNKK, com possível ligação ao botnet Medusa do afiliado UNKN por sobreposição de nomes de campanha, mecanismo de entrega e uso do dead-drop no Telegram.
Sinais de comprometimento
Nenhum desses estágios depende de explorar uma falha do sistema: a cadeia inteira depende de engenharia social e de permissões concedidas pelo usuário. Isso torna os sinais de comportamento o melhor ponto de detecção, antes de qualquer perda financeira:
- Aplicativo recém-instalado pede permissão de acessibilidade logo após a instalação.
- Serviço VPN ativo no aparelho sem explicação do usuário.
- Navegação que volta sozinha das telas de configuração, aplicativos ou restauração de fábrica.
- Sobreposição estranha ao abrir o aplicativo do banco, seguida de retorno aparentemente normal.
- Consumo anormal de dados por conexão WebSocket em segundo plano.
Plano de resposta prioritário
Se um aparelho corporativo ou de um cliente apresenta esses sinais, a resposta precisa de ordem e de prazo:
| Prioridade | Ação | Justificativa técnica |
|---|---|---|
| P1 | Isolar o aparelho da rede e suspender credenciais bancárias | O operador mantém controle remoto e pode retomar a sessão a qualquer momento |
| P1 | Trocar PIN, códigos de mobile banking, senha do aparelho e padrão de desbloqueio | Todos esses segredos foram capturados por overlay, registro de digitação ou leitura da árvore de interface |
| P2 | Restaurar o sistema ou reinstalar de backup limpo | O payload usa packer e dead-drop; remover apenas o app visível não garante a limpeza |
| P2 | Bloquear os domínios de distribuição e o C2 conhecido no proxy e no DNS | A lista de indicadores da Group-IB inclui URLs de download e infraestrutura de comando |
| P2 | Comunicar a instituição financeira e registrar o boletim de ocorrência | Necessário para contestar transações e alimentar o rastreio policial |
Do lado da plataforma, a documentação do Google informa que o Play Protect pode impedir a instalação de aplicativos não verificados que usem permissões sensíveis de dispositivo comumente visadas por golpistas para cometer fraude financeira, além de desativar ou remover apps nocivos detectados. Mantenha o recurso ativado e o envio de apps desconhecidos habilitado — mas o caso RemControl mostra o limite do controle: se o dropper corta a rede da loja com uma VPN local, a instalação escapa da verificação em tempo real. Em dispositivos corporativos, a política deve restringir fontes de instalação por MDM e não depender apenas do scanner nativo.
Para vítimas, o caminho de contenção é semelhante ao de outros golpes bancários: retirar a confiança da credencial vazada e acionar os canais oficiais o quanto antes, como no guia do golpe do Pix. E, como o RemControl captura o padrão de desbloqueio e tudo o que é digitado, quem teve o aparelho comprometido deve assumir que dados pessoais saíram do dispositivo — o passo a passo para verificar vazamentos sem entregar mais dados está em como saber se meus dados vazaram.