RemControl Android kötü amaçlı yazılımı Avrupa ve Kanada’daki kullanıcıları hedefliyor

RemControl adlı yeni bir Android kötü amaçlı yazılım hizmeti (MaaS), TVTap IPTV uygulamasını taklit eden kötü amaçlı reklam kampanyalarıyla kullanıcıları hedefliyor.

Altyapısı en az Mayıs ayından beri aktif olsa da araştırmacılar ilk örnekleri Temmuz ayında gözlemledi. Örneklerde banka bilgilerini çalmak için tasarlanmış 30’dan fazla kimlik avı ekranı bulunuyordu. Group-IB, RemControl’ın İtalya, Fransa, İspanya, Polonya ve Portekiz dahil Avrupa’daki kullanıcıların yanı sıra Kanada ve Orta Doğu’daki ülkeleri hedeflediğini söyledi.

Bir ekran, bir yapay zekâ asistanının yanıtını gösteriyordu. Group-IB bunu, kötü amaçlı yazılımın geliştirilmesine yapay zekâ modellerinin yardımcı olduğuna dair güçlü bir işaret olarak değerlendirdi. RemControl, sahte Google Play sayfaları üzerinden dağıtılıyor. En az bir İtalyan kampanyasında coğrafi konum engelleme ve mobil User-Agent kontrolleri kullanıldı. Sitelerde ayrıca Meta Pixel izleme kimlikleri bulunuyordu; bu durum operatörün kullanıcıları indirme sayfalarına yönlendirmek için Meta’nın reklam ekosistemini kötüye kullanmış olabileceğini gösteriyor.

Dropper çalıştırıldığında, Google Play services trafiğini engelleyen bir VPN hizmeti başlatıyor ve Play Protect’in gerçek zamanlı kontroller yapmasını önlüyor. Bu teknik, 16 ülkede 349 bankacılık, finans, kripto para ve elektronik cüzdan uygulamasına yönelik kimlik avı ekranları kullanan daha büyük bir operasyon olan ToxicPanda’da da gözlemlendi.

RemControl, Accessibility Service izinleri istiyor. Şifrelenmiş komuta ve kontrol bilgilerini Telegram kanallarından alarak kesintiler sırasında altyapıyı değiştirebiliyor. Group-IB, ekranları alma ve çalınan bilgileri gönderme uç noktalarını gösteren FastAPI belgelerinin açıkta olduğunu buldu. Operatörün kökeni belirsiz. HTML dosyalarındaki Rusça ifadeler, ekranların en azından bazılarının Rusça konuşan biri tarafından geliştirildiğini gösteriyor. Araştırmacılar operatörü UNKK olarak izliyor ve Medusa bankacılık truva atıyla bağlantıdan şüpheleniyor.