A empresa de cibersegurança Group-IB identificou o trojan bancário RemControl em ataques contra celulares Android na Europa, no Oriente Médio e no Canadá. O programa malicioso imita o aplicativo de televisão TVTap IPTV em páginas falsas da Google Play Store para controlar aparelhos à distância e roubar contas de clientes de mais de 30 instituições financeiras.
O esquema opera no formato de malware como serviço (Malware-as-a-Service, ou MaaS), modelo em que a estrutura do golpe é alugada a outros criminosos. “Com alvos confirmados em mais de 30 instituições bancárias em seis países, ele representa uma séria ameaça tanto para os bancos quanto para seus clientes”, afirmaram os pesquisadores da Group-IB, em tradução livre.
Como o trojan RemControl invade o celular e bloqueia o Google Play Protect
As vítimas chegam às páginas falsas da loja oficial do Google por meio de campanhas de publicidade maliciosa (malvertising). Esses anúncios oferecem o download do TVTap IPTV, um aplicativo usado para assistir a transmissões televisivas e partidas de futebol que não está disponível na Google Play Store verdadeira.
Quem busca a ferramenta fora da loja oficial acaba baixando um arquivo instalador malicioso, conhecido como dropper. Para dificultar a identificação por sistemas de segurança, o malware gera certificados exclusivos para assinar o arquivo em cada instalação realizada.
Assim que o arquivo é executado no aparelho, ele exibe uma tela falsa de atualização baseada na tecnologia WebView. Quando o usuário toca na opção para instalar, o programa cria um serviço de rede privada virtual (VPN) local dentro do próprio telefone. Essa conexão interna serve para bloquear o tráfego de dados do Google Play Protect e impedir que a ferramenta oficial do Android faça a verificação de segurança em tempo real.
Leia também: Aplicativo DroidDeck roda jogos de PC e Steam no Android sem nuvem
Depois de instalado, o RemControl explora o Serviço de Acessibilidade do Android, um recurso legítimo do sistema operacional voltado a auxiliar pessoas com dificuldade de uso do aparelho. Com essa permissão ativa, os invasores assumem o controle remoto total do telefone e executam diversas ações sem o conhecimento do dono.
Os investigadores da Group-IB mapearam os recursos técnicos de invasão, evasão e coleta de dados presentes no funcionamento do RemControl:
- Injeção de telas falsas (phishing) posicionadas por cima de aplicativos bancários verdadeiros;
- Registro contínuo de tudo o que é digitado no teclado do celular (keylogging);
- Captura de códigos PIN, senhas de mobile banking e datas de validade de cartões bancários;
- Transmissão da tela do dispositivo em tempo real para os operadores do golpe;
- Uso de canais criptografados no Telegram (técnica chamada de dead-drop) para localizar os endereços dos servidores de comando e controle (C2);
- Monitoramento da navegação do usuário para acionar o botão “voltar” automaticamente caso a vítima tente abrir as configurações do sistema para remover permissões ou desinstalar o aplicativo.
Criador do RemControl enganou inteligência artificial para programar o golpe
A investigação apontou que o desenvolvedor do RemControl é um operador de língua russa rastreado sob a identificação UNKK. Para erguer grande parte da infraestrutura de comando e controle e desenhar as telas falsas de bancos, o criminoso recorreu a assistentes de inteligência artificial.
Como essas ferramentas possuem travas contra a criação de códigos maliciosos, UNKK enganou o modelo de inteligência artificial durante a programação. Ele fez o sistema acreditar que estava desenvolvendo conexões de interface de programação de aplicações (endpoints de API) para um aplicativo legítimo de monitoramento parental e de questionários (quiz).
Acompanhe: Android fora de uso retransmite conexão Wi-Fi em seis etapas e amplia sinal nos cômodos
O uso da tecnologia automatizada foi tão direto que o operador deixou respostas não editadas dos chatbots de inteligência artificial dentro das próprias telas falsas enviadas às vítimas. “O resultado é uma plataforma funcional de fraude bancária cuja própria documentação descreve o roubo de credenciais como conclusão de questionário e as vítimas bancárias como ‘uma pessoa olhando para o questionário'”, informou o relatório da Group-IB, em tradução livre.
Cronologia dos ataques do RemControl e países atingidos desde maio de 2026
O alerta sobre os riscos de baixar programas piratas para ver futebol no celular ganhou repercussão entre a sexta-feira (16) e esta segunda-feira (19), mas a operação criminosa começou meses antes. O relatório técnico original da Group-IB foi publicado em 23 de setembro de 2026 e detalhou o avanço da campanha em diferentes regiões.
Pelo menos uma das campanhas direcionadas a usuários na Itália aplicou filtragem geográfica (geofencing), checagem de navegador móvel (User-Agent) e rastreadores Meta Pixel, o que indica possível abuso da plataforma de anúncios da Meta para atrair alvos específicos. A empresa de cibersegurança não divulgou o número exato de dispositivos infectados nem o valor financeiro total roubado pelo grupo até o momento.
O levantamento da Group-IB registra as datas de avanço da operação e os locais visados pelo RemControl:
- Maio de 2026: mês a partir do qual a infraestrutura do RemControl passou a ficar ativa;
- Julho de 2026: período em que as primeiras amostras ativas do malware foram observadas em ataques reais;
- 23 de setembro de 2026: publicação do relatório técnico da Group-IB revelando a descoberta do trojan;
- Países com alvos confirmados: Portugal, Espanha, França, Itália, Polônia e Canadá, além de nações do Oriente Médio.
O que fazer em caso de instalação de aplicativo suspeito no Android
A recomendação de segurança para usuários de Android é instalar aplicativos apenas pelas lojas oficiais, desconfiar de páginas externas que imitam plataformas conhecidas e revisar as permissões exigidas por cada programa, principalmente quando o acesso solicitado não tem relação com a função prometida.
Quem baixou um arquivo suspeito no celular não deve digitar senhas ou dados bancários no aparelho. Caso o programa já tenha sido instalado e haja suspeita de invasão, a orientação é entrar em contato com o banco pelos canais oficiais, buscar assistência técnica para verificar o telefone e alterar todas as credenciais de acesso a partir de outro equipamento seguro.