Group-IB documentó la amenaza el 23 de septiembre de 2026 y la identificó como un nuevo troyano bancario para Android. Las campañas analizadas han afectado a clientes de entidades financieras de Europa occidental, Oriente Medio y Canadá. Las primeras muestras conocidas aparecieron en julio, aunque parte de la infraestructura estaba activa desde mayo.

RemControl toma el control de Android

El ataque comienza fuera de la tienda oficial. Los delincuentes crean páginas que imitan a Google Play para distribuir TVTap, una supuesta app de IPTV que no procede realmente de esa plataforma. Group-IB encontró además indicios de que se utilizó publicidad maliciosa para dirigir tráfico hacia estos sitios fraudulentos.

Después de descargar el archivo, una falsa actualización de TVTap solicita autorización para activar una VPN local. El instalador emplea esa conexión para bloquear las comunicaciones de Google Play Store e interferir con las comprobaciones en tiempo real que Play Protect puede realizar durante la instalación.

Cada instalación genera además un certificado de firma diferente antes de incorporar la carga maliciosa. Esta técnica dificulta los sistemas de detección que intentan reconocer un archivo o certificado previamente identificado como peligroso.

Más adelante aparece una solicitud especialmente sensible: el acceso al servicio de Accesibilidad de Android. Esta función está diseñada para facilitar el manejo del dispositivo cuando se necesita asistencia. En manos de software malicioso, el permiso permite leer elementos de la interfaz y ejecutar acciones, capacidades que el troyano utiliza para ampliar el control del equipo.

Una pantalla falsa roba las claves bancarias

Al detectar una aplicación financiera incluida entre sus objetivos, el troyano puede superponer una pantalla de phishing a tamaño completo. El formulario fraudulento solicita datos como códigos de acceso a la banca móvil o la fecha de vencimiento de una tarjeta. Tras introducir la información, la pantalla desaparece y vuelve a mostrarse la aplicación legítima.

La investigación confirmó más de 30 objetivos relacionados con entidades financieras de Italia, Francia, España, Polonia, Portugal, Canadá y algunos países del Consejo de Cooperación del Golfo. Los bancos atacados pueden cambiar porque la lista se actualiza desde la infraestructura controlada por los delincuentes.

Las capacidades no terminan con los formularios falsos. El programa puede transmitir información de la pantalla en tiempo real, tomar capturas, registrar pulsaciones y cambios de texto. También permite ejecutar remotamente acciones como tocar, desplazarse o escribir. Group-IB encontró además funciones destinadas a capturar el patrón de desbloqueo de determinados celulares Android.

El malware dificulta su eliminación

Detectar una app sospechosa tampoco garantiza una desinstalación sencilla. El programa vigila determinadas pantallas de configuración y puede interferir cuando se intenta administrar aplicaciones, retirar permisos de Accesibilidad o iniciar un restablecimiento de fábrica.

Para mantener la comunicación con los dispositivos infectados, la infraestructura obtiene información cifrada publicada mediante Telegram. Los responsables pueden modificar así la dirección del servidor de comando y control sin distribuir una nueva versión del programa malicioso.

Group-IB también encontró un modelo de malware como servicio (MaaS). Esto permite que diferentes afiliados utilicen la infraestructura para realizar ataques. La documentación analizada incluye herramientas para gestionar dispositivos infectados, administrar las pantallas falsas, registrar sesiones de control remoto y generar archivos APK vinculados con esos afiliados.

La IA también aparece detrás del ataque

Parte de la infraestructura presenta indicios de desarrollo asistido por inteligencia artificial. Los investigadores encontraron esas señales tanto en documentación como en páginas de phishing. Una de ellas conservaba incluso una respuesta completa generada por un asistente de IA dentro de su código.

La evidencia no demuestra que una inteligencia artificial haya creado o ejecutado autónomamente la campaña. Sí indica que estas herramientas se utilizaron para desarrollar algunos componentes. Según Group-IB, al asistente aparentemente se le dieron instrucciones presentadas como si estuviera ayudando a construir una aplicación legítima de control parental.

A partir de etiquetas encontradas en las muestras, el operador de las primeras campañas recibió provisionalmente el nombre UNKK. Los investigadores observaron además indicios de una posible relación con un afiliado del troyano bancario Medusa, pero consideran que la evidencia disponible todavía no permite establecer una conexión definitiva.

Instalar apps fuera de Google Play eleva el riesgo

La principal puerta de entrada identificada en esta campaña es una instalación realizada desde una página que suplanta a Google Play. Group-IB recomienda evitar archivos APK recibidos mediante enlaces, sitios web, mensajes o publicaciones en redes sociales cuando no pueda comprobarse quién los distribuye.

También merece atención una app desconocida que solicite acceso a Accesibilidad. Entre las señales descritas por los investigadores aparecen pantallas negras, supuestas actualizaciones no solicitadas, comportamientos inesperados del celular, consumo inexplicable de batería o datos y formularios bancarios que no coinciden con el aspecto habitual de la aplicación.

Si existe la sospecha de que el equipo fue comprometido, conviene proteger las cuentas antes de que alguien acceda a ellas. Cambiar las credenciales críticas desde otro dispositivo seguro y revisar las sesiones abiertas son algunas de las medidas que pueden tomarse cuando existe riesgo de exposición.

El malware RemControl admite más de 30 idiomas y permite modificar las entidades financieras que aparecen en sus pantallas falsas. Para Group-IB, estas características facilitan que futuras campañas puedan dirigirse a otras regiones. La investigación publicada hasta ahora no confirma que esa expansión ya haya ocurrido.

Imagen: Group-IB / Editada por ENTER.CO con IA (ChatGPT)