پژوهشگران Group-IB هشدار دادند که یک تروجان بانکی جدید برای اندروید با سوءاستفاده از سرویس‌های دسترسی (Accessibility Services)، کنترل کامل دستگاه‌های قربانی را به دست گرفته و اطلاعات حساسی نظیر پین‌کدها، کدهای بانکداری موبایلی و تاریخ انقضای کارت‌ها را جمع‌آوری می‌کند.
دامنه عملیاتی و اهداف
این بدافزار که توسط اپراتور خود RemControl نامیده شده است، از جولای ۲۰۲۶ مشتریان بانک‌های خرده‌فروشی در اروپای غربی، خاورمیانه و کانادا را هدف قرار داده است. طبق گزارش کارشناسان، این تهدید تاکنون بیش از ۳۰ مؤسسه بانکی در ۶ کشور مختلف را هدف قرار داده که نشان‌دهنده سطح خطر بالای آن برای بانک‌ها و کاربران نهایی است. همچنین، پشتیبانی این بدافزار از چندین زبان مختلف، احتمال گسترش عملیات آن به مناطق جغرافیایی جدید را تقویت می‌کند.
استفاده از هوش مصنوعی در توسعه بدافزار
به نظر می‌رسد توسعه‌دهنده این بدافزار (که یک اپراتور روسی‌زبان با نام مستعار UNKK است)، برای ساخت بخش‌های قابل توجهی از زیرساخت فرمان و کنترل (C2) و صفحات فیشینگ (Phishing Overlays) از یک دستیار AI استفاده کرده است. احتمالاً توسعه‌دهنده با فریب دادن مدل هوش مصنوعی، آن را متقاعد کرده که APIهای ایجاد شده برای یک اپلیکیشن نظارت والدین (Parental Monitoring) هستند.
مکانیسم توزیع و دور زدن سیستم‌های امنیتی
قربانیان از طریق صفحات جعلی Google Play Store که اپلیکیشن TVTap IPTV را جعل می‌کنند، به سمت دانلود RemControl هدایت می‌شوند. این صفحات بر اساس User-Agent و موقعیت جغرافیایی (IP Geolocation) کاربر، به زبان محلی نمایش داده می‌شوند.
- دور زدن Google Play Protect: پس از نصب، یک Dropper با ایجاد یک سرویس VPN محلی، ترافیک Google Play Protect را به یک کانال تهی (Null VPN) هدایت می‌کند تا شناسایی بدافزار متوقف شود.
- جلوگیری از شناسایی مبتنی بر Hash: این Dropper یک کلید امضای جدید در Android Keystore ایجاد کرده و Payload را پیش از نصب امضا می‌کند تا از شناسایی توسط آنتی‌ویروس‌ها بر اساس Hash جلوگیری کند.
تحلیل فنی عملکرد بدافزار
پس از نصب، RemControl بلافاصله درخواست دسترسی به Accessibility Service را می‌کند. در صورت پذیرش، مهاجم کنترل کامل دستگاه را در اختیار می‌گیرد و قابلیت‌های زیر را فعال می‌کند:
- WebView Overlays: ایجاد لایه‌های جعلی تمام‌صفحه روی اپلیکیشن‌های بانکی برای سرقت اطلاعات ورود و پین‌کدها.
- نقشه‌برداری از UI: استخراج مختصات، محتوای متنی و وضعیت تعاملی تمام عناصر رابط کاربری (UI) دستگاه.
- Keylogging: ثبت ضربات کلید و الگوهای باز کردن قفل صفحه (Pattern Lock).
- تداوم دسترسی (Persistence): جلوگیری از حذف اپلیکیشن و مسدود کردن دسترسی به منوی Factory Reset.
ارتباطات و انتقال داده‌ها
داده‌های سرقتی از طریق یک مکانیسم Dead-drop در تلگرام ارسال می‌شوند تا آدرس واقعی سرور C2 پنهان بماند. کانال ارتباطی اصلی از WebSocket استفاده می‌کند و پیام‌ها در قالب JSON با فیلدهایی نظیر cmd، udid، rid و data منتقل می‌شوند.
