پژوهشگران Group-IB یک تروجان بانکی جدید برای سیستم‌عامل اندروید با نام RemControl شناسایی کرده‌اند. این بدافزار با فریب کاربران برای نصب یک اپلیکیشن تلویزیونی جعلی، کنترل دستگاه را به دست گرفته و اطلاعات حساس بانکی از جمله PINها را سرقت می‌کند.
روش توزیع و مهندسی اجتماعی
این بدافزار از طریق صفحات جعلی در گوگل پلی (Google Play Store) توزیع می‌شود که خود را به جای اپلیکیشن TVTap IPTV معرفی می‌کنند. از آنجایی که TVTap یک برنامه محبوب است که در فروشگاه رسمی گوگل موجود نیست، کاربران عادت دارند آن را از منابع غیررسمی دریافت کنند و همین موضوع به عنوان یک طعمه (Lure) برای توزیع بدافزار مورد استفاده قرار گرفته است.
در یکی از کمپین‌های هدفمند علیه مشتریان بانک‌های ایتالیایی، مهاجمان از تبلیغات در پلتفرم Meta برای جذب قربانیان استفاده کرده‌اند و اپلیکیشن مخرب تنها برای دستگاه‌هایی با IP ایتالیا ارائه شده است.
تکنیک‌های دور زدن امنیت (Evasion)
- غیرفعال‌سازی Google Play Protect: پس از اجرا، دروپر (Dropper) از کاربر درخواست اجازه برای فعال‌سازی یک سرویس VPN می‌کند. این VPN ترافیک شبکه مربوط به گوگل پلی را مسدود می‌کند تا از اسکن شدن نصب توسط Play Protect جلوگیری شود.
- امضای پویا (Dynamic Signing): بدافزار برای هر نصب، یک گواهینامه (Certificate) جدید ایجاد و کد را امضا می‌کند. این اقدام باعث می‌شود شناسایی بدافزار بر اساس هش فایل (File Hash) یا گواهینامه‌های ثابت غیرممکن شود.
- استفاده از Accessibility Service: بدافزار با درخواست دسترسی به سرویس‌های دسترسی‌پذیری، کنترل کامل دستگاه را به دست می‌گیرد تا بتواند عملیات سرقت داده‌ها را پیش ببرد.
زیرساخت و استفاده از هوش مصنوعی
نکته قابل توجه در این کمپین، استفاده از AI-assisted development در توسعه زیرساخت است. شواهد نشان می‌دهد که مهاجم از دستیارهای هوش مصنوعی برای ساخت بخش‌های بزرگی از بک‌اند سرور C2 و صفحات فیشینگ (Phishing Overlays) استفاده کرده است، در حالی که این درخواست‌ها تحت پوشش یک اپلیکیشن «نظارت والدین» ارسال شده تا هوش مصنوعی متوجه ماهیت مخرب پروژه نشود.
همچنین، آدرس سرور C2 بدافزار به صورت متن رمزگذاری شده در دو کانال عمومی تلگرام منتشر می‌شود تا مهاجم بتواند بدون نیاز به به‌روزرسانی اپلیکیشن، سرور خود را تغییر دهد.
مدل کسب‌وکار و ردیابی
مستندات کشف شده نشان می‌دهد که RemControl به صورت Malware-as-a-Service (MaaS) عرضه می‌شود. تحلیلگران این عامل تهدید را با نام UNKK شناسایی کرده‌اند و احتمال می‌دهند این گروه با افیلیت‌های تروجان Medusa (به ویژه گروه UNKN) ارتباط داشته باشند، زیرا روش‌های توزیع و نام‌گذاری دروپرها بسیار مشابه است.
