Нов банков троянец за Android използва генерирани с изкуствен интелект фишинг екрани, за да краде PIN кодове

Нов банков троянец за Android превръща изтеглянето на приложение в капан за банкови PIN кодове. Наречен RemControl, той се крие зад фалшиви страници за изтегляне на приложение за телевизионен стрийминг, след което чака да бъдат отворени банкови приложения.

Кампанията използва страници, които изглеждат като страници в Google Play, въпреки че приложението за стрийминг не се предлага там.

В една италианска кампания страниците са доставяли злонамерения инсталатор само на посетители с Android и италиански IP адреси, скривайки капана от останалите. Изследователи от Group-IB са идентифицирали RemControl и са проследили неговата активност до проби, видяни за първи път през юли 2026 г.

От Group-IB съобщават в доклад, споделен с Cyber Security News (CSN), че повече от 30 банкови институции в Европа, Близкия изток и Канада имат съответстващи фишинг екрани.

Броят на жертвите не е потвърден; макар че Италия и Франция са били основните наблюдавани цели. Откритието засилва опасенията относно изтеглянето на фалшиви стрийминг приложения, използвани за поставяне на мощен зловреден софтуер на телефони.

RemControl отива по-далеч от кражбата на данни за вход: той може да наблюдава екрана, да записва въвеждането от потребителя и да позволява на оператор да контролира дистанционно инфектираното устройство.

Нов банков троянец за Android използва припокриващи екрани (Overlays), създадени с изкуствен интелект

Когато дадено банково приложение бъде отворено, RemControl поставя пълен свитък (копие на целия екран) на банковия интерфейс върху него. Жертвата може да въведе PIN код, код за мобилно банкиране или дата на изтичане на картата в имитацията. След като данните бъдат изпратени, фалшивият екран се затваря и истинското приложение се появява отново.

Фалшивите страници пристигат от сървър, контролиран от атакуващия, вместо да са съхранени в инсталираното приложение. Това позволява на операторите да сменяват целите, без да искат от жертвите да инсталират друг файл. То наподобява техниката, използвана от други банкови троянци за Android, които разполагат фалшиви екрани върху надеждни приложения.

Необичайният детайл е разработката с помощта на изкуствен интелект. Изследователите са открили сървърна документация, описваща откраднатите банкови данни като отговори на куиз, а отдалечения достъп – като родителски контрол. Пълен отговор от ИИ асистент, включващ бележки и оферта за създаване на още съдържание, е бил оставен в реална фишинг страница.

Тези улици подсказват, че ИИ асистент е помогнал за изграждането на части от престъпната платформа под подвеждащо описание на нейната цел. Това не означава, че зловредният софтуер използва ИИ на самия телефон. Непосредствената опасност продължава да бъде убедителният екран, който иска чувствителни данни в грешния момент.

Инсталация и отдалечен контрол

Инсталаторът първо показва фалшив екран за обновяване на приложение за стрийминг. След това той иска разрешение за VPN и използва локална връзка, за да прекъсне мрежовия трафик от Play Store по време на инсталацията, пречейки на проверките за сигурност в реално време.

Всяка инсталация получава новогенериран сертификат за подписване, което затруднява откриването въз основа на вече видени файлове. След инсталацията троянецът иска достъп до функциите за достъпност (Accessibility) на Android.

Това позволява на зловредния софтуер да чете екрана, да заснема екранни снимки и да извършва докосвания или плъзгания вместо оператора. Подобна злоупотреба с разрешения е описана в доклади за campaigns на банковия зловреден софтуер Perseus, които също са използвали фалшиви приложения за стрийминг.

RemControl може да записва въведения текст и да инспектира екранните контроли на устройството, докато предава екранни снимки. Той може също така да събира информация, необходима за възстановяване на модела за отключване (Unlock Pattern), и да премахва потребителите от екрана с настройки, когато се опитат да го премахнат. Тези функции правят риска много по-широк от един откраднат банков PIN код.

Операцията наподобява услуга за други престъпници. Разкрит контролен панел е предлагал инструменти за създаване на версии на приложения (App Builds), управление на инфектирани устройства и преглед на прихванати идентификационни данни.

Изследователите са свързали наблюдаваните проби с партньорски етикет UNKK, но са описали възможната връзка с друга мрежа за банков зловреден софтуер като недоказана.

Зловредният софтуер извлича местоположението на своя сървър чрез Telegram, което позволява на операторите да променят мястото, към което се свързват заразените телефони, без да се налага пренастройване на приложението.

Обновените припокриващи екрани (Overlays) помагат на кампанията да променя целите си. Това следва по-широк модел от опити за кражба на банкови PIN кодове, които комбинират подвеждащи екрани с отдалечен контрол върху телефона.

Потребителите трябва да избягват изтеглянето на приложения, предлагани чрез връзки или непознати уебсайтове, дори когато дадена страница изглежда като официален магазин.

Преглеждайте неочаквани заявки за VPN и достъпност (Accessibility) и никога не въвеждайте банкови данни в екран, който се появява без предупреждение. Всеки, който се съмнява за злоупотреба с акаунта си, трябва да се свърже с банката си чрез официалните канали.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са нарочно неутрализирани (напр. [.]), за да се предотврати случайно разрешаване или създаване на хипервръзки. Възстановете ги само в контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашия SIEM.