محققان امنیتی موفق به شناسایی یک تروجان بانکی جدید برای سیستم‌عامل اندروید به نام RemControl شده‌اند. این بدافزار مشتریان بانک‌های خرده‌فروشی در کشورهای اروپایی، کانادا و کشورهای خاورمیانه را هدف قرار داده است. نکته قابل توجه در این پرونده، استفاده عامل تهدید از هوش مصنوعی (AI) برای ساخت زیرساخت‌های جنایی و صفحات فیشینگ است، به‌طوری که در برخی موارد، پاسخ‌های مستقیم دستیار AI در کدهای عملیاتی بدافزار باقی مانده بود.
مکانیزم توزیع و عفونت
این بدافزار از طریق صفحات جعلی Google Play Store که خود را به جای اپلیکیشن TVTap IPTV جا می‌زنند، توزیع می‌شود. مهاجمان از کمپین‌های Malvertising (تبلیغات مخرب) در پلتفرم Meta برای جذب قربانیان استفاده می‌کنند. پس از دانلود، دراپِر (Dropper) بدافزار از روش‌های زیر برای دور زدن سیستم‌های امنیتی استفاده می‌کند:
- غیرفعال‌سازی Google Play Protect: با درخواست مجوز
BIND_VPN_SERVICE، یک تونل VPN محلی ایجاد می‌کند تا ترافیک مربوط به سرویس بررسی گوگل را مسدود کرده و مانع از اسکن بدافزار شود. - امضای پویا: برای هر نصب، یک کلید امضای جدید در Android Keystore تولید می‌کند تا شناسایی بر اساس هش (Hash-based detection) را مختل کند.
- سوءاستفاده از Accessibility Service: پس از نصب، بدافزار کاربر را مجبور به فعال کردن سرویس دسترسی‌پذیری می‌کند تا کنترل کامل دستگاه به دست بگیرد.
قابلیت‌های فنی و سرقت داده‌ها
RemControl با نظارت بر برنامه‌های در حال اجرا، زمانی که کاربر اپلیکیشن بانکی را باز می‌کند، یک Phishing Overlay (لایه جعلی) روی برنامه اصلی نمایش می‌دهد تا اطلاعات حساس مانند PIN، کدهای بانکی و تاریخ انقضای کارت‌ها را سرقت کند. قابلیت‌های پیشرفته این بدافزار عبارتند از:
- استریمینگ زنده: ارسال تصاویر صفحه نمایش (Screenshots) در قالب تصاویر WEBP و ارسال ساختار JSON از سلسله‌مراتب UI برای کنترل دقیق دستگاه.
- ثبت کلیدها (Keylogging): ثبت تمامی رویدادهای کلیک و تغییرات متنی در تمامی اپلیکیشن‌ها.
- دور زدن قفل صفحه: شناسایی مختصات سلول‌های Pattern Lock در برندهای مختلف (مانند سامسونگ، شیائومی و هواوی) برای بازسازی رمز عبور کاربر.
- جلوگیری از حذف: شناسایی صفحات تنظیمات سیستم و اجرای خودکار دستور «بازگشت» (Back) برای جلوگیری از حذف بدافزار یا بازگرداندن تنظیمات کارخانه.
تحلیل زیرساخت و نقش هوش مصنوعی
این بدافزار از مکانیزم Telegram Dead-drop برای دریافت آدرس سرور C2 استفاده می‌کند تا شناسایی زیرساخت را دشوار کند. تحلیل‌های فنی نشان می‌دهد که توسعه‌دهندگان از AI برای ساخت پنل مدیریت و APIها استفاده کرده‌اند. برای فریب دادن AI، توسعه‌دهندگان ادعا کرده بودند که در حال ساخت یک اپلیکیشن «نظارت والدین» یا «سیستم کوییز» هستند؛ به همین دلیل در مستندات API، سرقت اطلاعات بانکی به عنوان «پاسخ به کوییز» توصیف شده است.
همچنین شواهدی مانند کامنت‌های زبان روسی در کدهای HTML و متادیتای تصاویر، احتمال درگیر بودن توسعه‌دهندگان روسی‌زبان در این عملیات را تقویت می‌کند. این پلتفرم به صورت Malware-as-a-Service (MaaS) طراحی شده تا سایر عوامل تهدید بتوانند با پرداخت هزینه، از این زیرساخت برای حملات خود استفاده کنند.
