Android-троян RemControl крадёт данные клиентов банков через поддельные страницы IPTV

Схема распространения опирается на привычку пользователей искать приложения вне официального магазина. TVTap - популярный сторонний сервис интернет-телевидения, которого нет в Google Play, поэтому люди часто скачивают его с сайтов-двойников. Одна из отслеженных кампаний ориентирована на клиентов итальянских банков. Поддельные страницы оформлены на итальянском языке и открывают доступ к загрузке только владельцам мобильных устройств с итальянским адресом. На страницах размещены счётчики рекламной платформы Meta. Их наличие указывает на рекламные кампании: трафик жертв покупают через легитимную рекламную сеть. Домены, через которые шла раздача, зарегистрировали 10 июля 2026 года, а первые образцы вредоносной программы появились девятью днями позже.

Установка построена в несколько шагов. Сначала жертва видит экран обновления TVTap. После нажатия кнопки программа запрашивает разрешение на создание локального защищённого канала связи и направляет через него весь сетевой трафик официального магазина Google Play. Встроенная защита Play Protect теряет доступ к сети и не может проверить устанавливаемое приложение. Затем программа создаёт уникальный цифровой сертификат для каждой установки и подписывает им вредоносный код. {Исследование Group-IB показало}, что одинаковых подписей не бывает: два заражения дают два разных сертификата, поэтому проверки по известным хешам перестают работать. Завершается всё установкой основной части трояна, которая сразу просит доступ к службе специальных возможностей Android - встроенному инструменту для людей с ограничениями по здоровью. Эта функция позволяет читать содержимое экрана и имитировать касания, поэтому именно её злоумышленники используют в большинстве мобильных банковских атак.

Дальше возможности программы раскрываются полностью. Как только жертва открывает банковское приложение, поверх него появляется поддельный экран входа. Содержимое подставных страниц хранится не на телефоне, а на сервере, поэтому список целей можно менять в любой момент без переустановки. Аналитики подтвердили более тридцати банковских приложений из Италии, Франции, Испании, Польши, Португалии, Канады и стран Персидского залива. Помимо подставных окон, троян в реальном времени передаёт оператору изображение экрана и карту всех видимых элементов интерфейса. Он фиксирует нажатия, ввод текста и переключения между полями, а также умеет сам нажимать и вводить данные. Отдельная функция касается блокировки экрана: программа распознаёт графический ключ разблокировки на устройствах десяти популярных производителей и передаёт координаты точек, что позволяет восстановить рисунок. Ещё один механизм мешает удалить троян. При попытке открыть настройки приложений или выполнить сброс к заводским параметрам программа автоматически закрывает нужный экран. Распознавание работает более чем на тридцати языках, так что защита сработает при любой региональной настройке телефона.

Инфраструктура кампании устроена с расчётом на быструю смену серверов. Адрес командного сервера не зашит в код: программа получает его из публичного канала в Telegram и расшифровывает по заранее заданному правилу. Оператору достаточно поменять содержимое канала, чтобы перенаправить все заражённые устройства на новую площадку. Разбирая серверную часть, специалисты наткнулись на открытую документацию программного интерфейса: её по неосторожности оставили доступной извне. Из неё видно, что платформа задумана как коммерческий сервис. Есть управление заражёнными устройствами, редактор шаблонов подставных окон, просмотр похищенных данных, запись сессий с покадровым воспроизведением и сборка новых версий под каждого партнёра. В документации кража банковских данных названа ответами на викторину, а жертва - человеком, смотрящим на викторину. В одном из действующих фишинговых файлов целиком сохранился ответ помощника на базе искусственного интеллекта: с пояснениями по реализации, перечнем правок и предложением внести ещё изменения. Судя по всему, разработчик заказал значительную часть кода у искусственного интеллекта, описав проект как приложение для родительского контроля. В нескольких файлах остались комментарии на русском языке.

За первыми кампаниями стоит оператор, известный под меткой UNKK. Она зашита во все изученные образцы вместе с метками отдельных стран: Италия, Франция, Португалия, Ближний Восток. Это подтверждает параллельные атаки на несколько регионов. Прослеживается сходство с другой активностью: на это указывает почти совпадающая метка, одинаковые способы доставки, схожие приёмы с каналом в Telegram и те же целевые страны. Уверенно связать обе группы пока нельзя.

Для банков главный вывод касается контроля клиентских сессий: подозрительные операции нужно блокировать до того, как человек введёт свои данные. Клиентам стоит помнить простые правила. Не переходить по ссылкам из писем и сообщений, не устанавливать приложения вне официального магазина и внимательно смотреть, какие разрешения запрашивает новая программа. Особую настороженность должно вызывать обращение к службе специальных возможностей: легитимные приложения просят её крайне редко. Если банковский экран появился неожиданно, вводить в него код или данные карты нельзя.