RemControl : Un nouveau cheval de Troie bancaire Android

RemControl est une plateforme de type « malware-as-a-service » (MaaS) ciblant les utilisateurs d’Android en Europe, au Canada et au Moyen-Orient. Diffusé via des publicités trompeuses imitant l’application IPTV TVTap, ce logiciel malveillant intègre des composants d’IA pour générer ses interfaces de phishing.

Points clés

• Propagation : Utilisation de fausses pages Google Play et de l’écosystème publicitaire Meta pour attirer les victimes.
• Contournement de sécurité : Installation d’un service VPN local bloquant le trafic vers Google Play Services, neutralisant ainsi Google Play Protect.
• Contrôle total : Exploitation abusive des services d’accessibilité Android pour capturer des saisies (clavier, gestes), réaliser des captures d’écran en temps réel, voler des identifiants bancaires et intercepter des schémas de déverrouillage.
• Persistance : Le malware détecte l’ouverture des paramètres système pour se fermer automatiquement et empêcher sa propre désinstallation.
• Infrastructure : Utilisation de canaux Telegram pour la mise à jour dynamique des serveurs de commande (C2), rendant le blocage complexe.
• Origines suspectées : Le malware présente des traces de langue russe et pourrait être lié au groupe derrière le cheval de Troie bancaire Medusa.

Vulnérabilités exploitées

• Abus des services d’accessibilité Android : Cette fonctionnalité légitime est détournée pour obtenir un contrôle quasi total sur l’interface et les données utilisateur.
• Aucune CVE spécifique attribuée : L’attaque repose sur l’exploitation détournée de fonctionnalités système natives plutôt que sur une faille logicielle particulière.

Recommandations de sécurité

• Vigilance sur les sources : Ne jamais installer de fichiers APK provenant de sites tiers ou de publicités non officielles.
• Gestion des permissions : Refuser systématiquement les demandes d’accès aux « Services d’accessibilité » pour les applications qui n’en ont pas une utilité manifeste et justifiée.
• Protection active : S’assurer que Google Play Protect est activé et effectuer des scans réguliers de l’appareil.
• Scepticisme : Se méfier des applications proposant des services de streaming populaires via des liens publicitaires suspects.

Source