RemControl: trojan para Android imita aplicativos bancários e rouba PINs
Um novo malware bancário para Android, identificado como RemControl, usa telas falsas para enganar clientes de instituições financeiras. Ao abrir o aplicativo do banco, a vítima pode se deparar com uma cópia em tela cheia da interface legítima. Se digitar nela o PIN, a senha de acesso ou a validade do cartão, os dados são capturados pelos criminosos. Em seguida, a tela falsa desaparece e o aplicativo verdadeiro volta a ser exibido, sem que a fraude seja necessariamente percebida.
A ameaça foi identificada pela Group-IB, que encontrou amostras do trojan datadas de julho de 2026. O RemControl tem telas de phishing voltadas a mais de 30 instituições financeiras da Europa, do Oriente Médio e do Canadá. Itália e França estão entre os principais alvos da campanha.
Um aspecto importante da operação é que as telas fraudulentas não ficam armazenadas dentro do aplicativo malicioso. Elas são baixadas de servidores controlados pelos operadores, identificados por canais no Telegram. Com esse modelo, os criminosos podem substituir as interfaces e mudar as instituições visadas sem precisar distribuir uma nova versão do trojan para cada aparelho infectado.
Instalação disfarçada e permissões abusivas
A distribuição do RemControl começa em páginas que imitam a listagem de um aplicativo de streaming na Google Play. Na campanha voltada à Itália, o instalador era apresentado somente a visitantes com endereço IP italiano. Além disso, cada instalação recebia um certificado de assinatura diferente, medida que pode dificultar o reconhecimento do arquivo por ferramentas de segurança.
Depois de instalado, o programa mostra uma falsa tela de atualização para parecer legítimo. Também solicita permissão para configurar uma VPN. Segundo a análise, esse recurso é usado para bloquear o tráfego da Play Store e contornar verificações de segurança em tempo real. Na sequência, o aplicativo pede acesso aos serviços de acessibilidade do Android.
Essa permissão é especialmente sensível porque foi criada para ajudar pessoas com deficiência a interagir com o dispositivo. Nas mãos de um trojan, porém, pode permitir a leitura do conteúdo exibido na tela e a execução de ações sem o conhecimento do usuário. Com o acesso concedido, os operadores do RemControl podem capturar imagens, registrar textos digitados e simular toques remotamente.
O malware também pode atrapalhar a própria remoção. Caso a vítima tente abrir as configurações para desinstalá-lo, os criminosos conseguem executar ações para expulsá-la dessa área do sistema. A análise aponta ainda que o trojan é capaz de reconstruir o padrão usado para desbloquear o aparelho, ampliando o acesso às informações armazenadas nele.
Como reduzir o risco de infecção
Para diminuir a exposição a esse tipo de golpe, evite instalar aplicativos por páginas que apenas reproduzem a aparência de uma loja oficial. Confira o nome do desenvolvedor, a origem do aplicativo e se a instalação está sendo feita pela loja legítima. Mesmo assim, a presença de um app em uma loja conhecida não deve ser tratada como garantia absoluta de segurança.
Desconfie de aplicativos que pedem permissões sem relação clara com sua função. Um serviço de streaming, por exemplo, não deveria precisar controlar a tela, registrar toques ou ativar uma VPN para funcionar. Antes de aceitar qualquer solicitação, leia a descrição da permissão e considere se ela é realmente necessária.
Também vale revisar periodicamente os serviços de acessibilidade e as conexões VPN ativadas no Android. Se encontrar uma permissão que não reconhece, desative-a e investigue o aplicativo associado. Manter o sistema e os programas atualizados ajuda a reduzir riscos, mas não substitui a cautela ao instalar arquivos ou fornecer informações bancárias.
Se uma tela de login parecer diferente, fechar sozinha ou solicitar dados incomuns, não continue a operação. Encerre o aplicativo e acesse o banco por um caminho conhecido, como o ícone oficial já instalado. Caso tenha digitado credenciais em uma tela suspeita, contate imediatamente a instituição financeira por um canal oficial, solicite o bloqueio de acessos ou cartões quando necessário e altere as senhas a partir de um dispositivo confiável.
A investigação também encontrou, em uma página de phishing ainda ativa, uma resposta de assistente de inteligência artificial esquecida. Outros documentos descreviam os dados roubados como “respostas de quiz” e o controle remoto como “monitoramento parental”. Esses elementos podem indicar que ferramentas de IA foram usadas durante o desenvolvimento ou a preparação da campanha. A análise, contudo, não aponta que a inteligência artificial estivesse operando diretamente no aparelho infectado.