RemControl: novo trojan bancário para Android foi construído com ajuda (inadvertida) de IA
A Group-IB identificou o RemControl, um trojan bancário Android operado como serviço (MaaS) desde maio de 2026, que usa overlays de phishing para roubar PIN, senha e dados de cartão de clientes de bancos na Europa Ocidental, Oriente Médio e Canadá. O malware se distribui por páginas falsas de um app de IPTV na Play Store e abusa do Serviço de Acessibilidade do Android para sobrepor telas falsas aos apps bancários legítimos. O achado mais curioso é que os próprios operadores parecem ter usado um assistente de IA para programar parte do painel de controle e das telas de phishing, sem que a IA soubesse o que estava realmente construindo.
A Group-IB documentou uma nova família de trojan bancário para Android, batizada de RemControl, oferecida como plataforma de malware-as-a-service com infraestrutura ativa desde maio de 2026. O alvo são clientes de bancos de varejo na Itália, França, Espanha, Polônia, Portugal, países do Golfo e Canadá, com mais de 30 aplicativos bancários já mapeados como alvo de overlay de phishing. A distribuição ocorre por páginas falsas que imitam a Google Play Store anunciando um app de IPTV, com geofencing por IP e User-Agent para só entregar o APK malicioso a visitantes móveis de determinados países, reforçado por campanhas de malvertising via Meta Pixel.
Por dentro, o golpe funciona explorando o Serviço de Acessibilidade do Android — recurso pensado para tecnologia assistiva — para monitorar qual app está em primeiro plano e, ao detectar um banco alvo, inflar uma WebView em tela cheia que cobre o aplicativo legítimo com uma interface falsa carregada dinamicamente do servidor de controle. Essa tela captura PIN, senha do app bancário e validade do cartão. O dropper ainda bloqueia o Google Play Protect roteando seu tráfego por uma VPN local nula e gera uma chave de assinatura única no Android Keystore a cada instalação, dificultando a detecção por hash. O comando e controle é resolvido via canais públicos do Telegram, com o endereço do servidor escondido em texto codificado em Base64 e cifrado em AES.
O ponto mais notável do relatório é a evidência de que o próprio operador criminoso usou um assistente de IA para desenvolver partes do backend do C2 e das páginas de overlay, sob o pretexto de estar construindo um app de 'monitoramento parental' — a IA, sem saber o real propósito, chegou a deixar uma resposta completa de chatbot (com notas de implementação e oferta de ajustes) esquecida dentro do código de uma das páginas de phishing, o que ajudou os pesquisadores a rastrear a operação. Isso ilustra como ferramentas de IA generativa vêm sendo usadas — às vezes sem que o próprio criminoso perceba os detalhes técnicos do que produz — para acelerar a criação de infraestrutura de fraude.
Para o usuário final, os sinais de alerta práticos são: qualquer app fora da Play Store oficial pedindo permissão de Acessibilidade deve ser tratado com máxima suspeita, já que apps bancários e a maioria dos apps legítimos nunca precisam desse acesso; telas de login bancário que aparecem de forma inesperada, mesmo dentro do app oficial, nunca devem receber PIN, senha ou dados de cartão; e sinais como consumo anômalo de bateria/dados, tela preta ou atualizações não solicitadas indicam possível infecção. Em caso de suspeita, o caminho correto é contatar o banco por canais oficiais e desinstalar imediatamente qualquer app desconhecido com permissões de Acessibilidade ativas.