یک تروجان بانکی جدید برای سیستم‌عامل اندروید با نام RemControl شناسایی شده است که مشتریان بیش از ۳۰ مؤسسه مالی در اروپا، خاورمیانه و کانادا را هدف قرار داده است. این بدافزار با ترکیبی از صفحات جعلی Google Play، سوءاستفاده از سرویس‌های دسترسی اندروید (Accessibility Service) و قابلیت‌های استریم صفحه در لحظه، نشست‌های بانکی کاربران را به خطر می‌اندازد.
مکانیزم توزیع و دور زدن دفاعات
کمپین‌های توزیع این بدافزار با ایجاد صفحات جعلی Google Play Store آغاز می‌شود که خود را به عنوان اپلیکیشن IPTV (تحت عنوان TVTap) معرفی می‌کنند. برای افزایش نرخ موفقیت، این صفحات ابتدا موقعیت جغرافیایی (IP Geolocation) و User-Agent کاربر را بررسی می‌کنند تا اطمینان حاصل کنند قربانی در محدوده هدف قرار دارد.
- دور زدن Google Play Protect: این بدافزار با سوءاستفاده از قابلیت VPN اندروید، ترافیک شبکه مربوط به بسته
com.android.vendingرا مسدود می‌کند تا ارتباط با سرویس‌های امنیتی گوگل در هنگام نصب قطع شود. - تغییر اثر انگشت (Hash): برای پیچیده کردن شناسایی توسط آنتی‌ویروس‌ها، RemControl برای هر بار نصب یک گواهینامه امضای جدید (Signing Certificate) تولید می‌کند که باعث می‌شود هر نمونه دارای هش و گواهینامه متفاوتی باشد.
- پکرهای سفارشی: نسخه‌های جدیدتر از یک DEX packer سفارشی برای رمزنگاری کد استفاده می‌کنند که کلید رمزگشایی آن مستقیماً از گواهینامه امضای APK استخراج می‌شود.
قابلیت‌های سرقت داده و کنترل از راه دور
پس از دریافت دسترسی‌های Accessibility Service، بدافزار کنترل کامل دستگاه را در دست می‌گیرد. RemControl به صورت یک پلتفرم Malware-as-a-Service (MaaS) عمل می‌کند و قابلیت‌های زیر را دارد:
- Overlay Attack: با شناسایی باز شدن اپلیکیشن‌های بانکی، یک لایه WebView تمام‌صفحه روی برنامه اصلی قرار می‌دهد تا اطلاعات حساس مانند PIN، کدهای بانکی و تاریخ انقضای کارت‌ها را سرقت کند.
- استریم زنده و مانیتورینگ: این بدافزار می‌تواند از طریق متد
takeScreenshot()تصاویر صفحه را گرفته، آن‌ها را به فرمت WEBP تبدیل کرده و از طریق WebSocket ارسال کند. - تزریق متن و تعامل: اپراتورها می‌توانند از راه دور کلیک‌ها، لمس‌های طولانی، پیمایش (Scroll) و حتی تزریق مستقیم متن (Text Injection) را در هر اپلیکیشنی اجرا کنند.
زیرساخت فرمان و کنترل (C2)
این عامل تهدید برای افزایش تاب‌آوری زیرساخت خود از تلگرام به عنوان یک Dead-drop resolver استفاده می‌کند. پیکربندی‌های رمزنگاری شده در کانال‌های تلگرامی قرار می‌گیرند و سپس توسط بدافزار رمزگشایی شده تا آدرس واقعی سرور C2 استخراج شود. ارتباطات اصلی از طریق WebSocket و در صورت عدم موفقیت، از طریق HTTP POST برقرار می‌گردد.
تحلیل فنی و منشأ
تحلیلگران امنیتی با بررسی کدهای موجود در لایه‌های فیشینگ، متوجه حضور کامنت‌هایی به زبان روسی شدند. همچنین، اشتباهات عملیاتی مانند باقی ماندن پاسخ‌های یک دستیار AI در کدهای لایه فیشینگ، نشان‌دهنده استفاده توسعه‌دهندگان از هوش مصنوعی برای تولید کد است. شباهت‌های ساختاری در کمپین‌ها، احتمال ارتباط این بدافزار با اکوسیستم Medusa UNKN را تقویت می‌کند.
