Crédito: Mixvale.com.br
Uma nova e perigosa ameaça digital tem sido detectada em dispositivos Android, com foco em roubo de informações bancárias. Especialistas em cibersegurança da Group-IB revelaram a atuação do trojan RemControl, que já atingiu usuários na Europa, Oriente Médio e Canadá. Este software malicioso se disfarça como o popular aplicativo de streaming TVTap IPTV em lojas virtuais fraudulentas, ganhando controle remoto de smartphones e mirando credenciais de mais de três dezenas de bancos.
O golpe opera sob o modelo “Malware-as-a-Service” (MaaS), onde a infraestrutura criminosa é disponibilizada para aluguel por outros atacantes. Pesquisadores da Group-IB alertam que, com alvos confirmados em mais de 30 instituições financeiras em seis nações, o RemControl representa um risco considerável tanto para as organizações bancárias quanto para seus correntistas. Esta modalidade de “serviço” intensifica a disseminação do malware, tornando-o uma ferramenta acessível para um leque maior de criminosos.
As vítimas são atraídas para as páginas falsas que imitam a loja oficial do Google através de campanhas de publicidade enganosa, uma prática conhecida como malvertising. Esses anúncios prometem o download do TVTap IPTV, um aplicativo que permite assistir a transmissões de televisão e jogos de futebol, mas que não está disponível na Google Play Store legítima.
Aqueles que buscam a ferramenta fora do ambiente seguro da loja oficial acabam baixando um arquivo instalador comprometido, denominado dropper. Para dificultar a detecção por sistemas de segurança, o malware gera certificados digitais exclusivos para assinar o arquivo a cada nova instalação, uma tática que visa evadir as defesas dos dispositivos.
Após a execução do arquivo no aparelho, uma tela falsa de atualização surge, utilizando a tecnologia WebView para simular um processo legítimo. Quando o usuário clica para instalar, o programa estabelece uma Rede Privada Virtual (VPN) local, operando internamente no próprio telefone. Essa conexão interna tem a função crucial de bloquear o tráfego de dados do Google Play Protect, impedindo que a ferramenta de segurança oficial do Android realize sua verificação em tempo real.
Uma vez instalado, o RemControl explora o Serviço de Acessibilidade do Android, um recurso legítimo do sistema operacional projetado para auxiliar pessoas com necessidades especiais de uso. Com essa permissão ativa, os invasores conseguem assumir o controle total e remoto do celular, realizando diversas operações sem que o proprietário tenha conhecimento ou consentimento, desde a digitação de dados até a navegação em aplicativos.
Os analistas da Group-IB detalharam os mecanismos técnicos empregados pelo RemControl para invadir sistemas, evadir defesas e coletar informações sensíveis dos usuários. Essa análise profunda revela a complexidade e a engenharia por trás do trojan bancário:
A investigação apontou que o responsável pelo desenvolvimento do RemControl é um cibercriminoso de língua russa, identificado como UNKK. Para construir grande parte da infraestrutura de comando e controle e projetar as interfaces falsas dos bancos, o criminoso recorreu a ferramentas de inteligência artificial.
Visto que esses modelos de IA possuem salvaguardas contra a geração de códigos maliciosos, UNKK utilizou um método enganoso durante a programação. Ele fez com que o sistema de inteligência artificial acreditasse que estava desenvolvendo conexões de interface de programação de aplicações (endpoints de API) para um aplicativo legítimo de monitoramento parental e de questionários interativos.
O uso da tecnologia automatizada foi tão direto que o operador deixou respostas não editadas dos chatbots de inteligência artificial dentro das próprias telas falsas apresentadas às vítimas. Conforme relatado pela Group-IB, “o resultado é uma plataforma funcional de fraude bancária cuja própria documentação descreve o roubo de credenciais como conclusão de questionário e as vítimas bancárias como ‘uma pessoa olhando para o questionário'”, evidenciando a falta de refinamento e a origem da IA.
Embora o alerta sobre os perigos de baixar programas piratas para assistir futebol no celular tenha ganhado destaque entre a sexta-feira (16) e esta segunda-feira (19), a operação criminosa já estava em andamento há meses. O relatório técnico original da Group-IB, publicado em 23 de setembro de 2026, detalhou o avanço da campanha em diversas regiões do mundo.
Pelo menos uma das campanhas voltadas para usuários na Itália empregou técnicas avançadas como filtragem geográfica (geofencing), verificação de navegador móvel (User-Agent) e rastreadores Meta Pixel. Isso sugere um possível uso indevido da plataforma de anúncios da Meta para direcionar alvos específicos com alta precisão. A empresa de cibersegurança não divulgou o número exato de dispositivos afetados nem o montante financeiro total subtraído pelo grupo até o momento.
O levantamento da Group-IB documenta a progressão da operação e as regiões que foram alvo do trojan RemControl ao longo do tempo, mostrando a amplitude da campanha maliciosa:
Para os usuários de Android, a principal recomendação de segurança é instalar aplicativos exclusivamente através das lojas oficiais, como a Google Play Store. É fundamental desconfiar de páginas externas que imitam plataformas conhecidas e sempre revisar as permissões solicitadas por cada programa, especialmente quando o acesso não tem relação direta com a funcionalidade prometida pelo aplicativo. A vigilância é a melhor defesa contra esses ataques.
Se um arquivo suspeito já foi baixado no celular, a orientação é não inserir senhas ou qualquer dado bancário no aparelho. Caso o programa malicioso já esteja instalado e haja suspeita de invasão, é crucial entrar em contato imediatamente com o banco pelos canais oficiais, procurar assistência técnica especializada para verificar o telefone e, por segurança, alterar todas as credenciais de acesso a partir de outro dispositivo que seja comprovadamente seguro.
