RemControl, trojan bancário Android criado com ajuda de IA, já tem mais de 30 apps de banco na mira

Pesquisadores da Group-IB identificaram um trojan bancário para Android até então desconhecido, batizado de RemControl, capaz de sobrepor telas falsas a aplicativos de banco e entregar ao criminoso o controle remoto completo do aparelho.

O programa já acumula mais de 30 alvos confirmados, ou seja, mais de trinta apps bancários para os quais o malware tem uma tela de phishing pronta para roubar dados de acesso.

O que muda para quem usa Android no Brasil

Até agora não há registro do RemControl atacando usuários no Brasil, e o país não aparece entre os alvos atuais da campanha, que se concentra em Europa, Oriente Médio e Canadá.

O ponto de atenção é o método. O golpe combina três técnicas que já circulam em fraudes bancárias locais:

• anúncios pagos no Meta que empurram um aplicativo que não existe na loja oficial;
• páginas falsas imitando a Play Store, usadas para hospedar o arquivo malicioso;
• abuso do Accessibility Service, o recurso de acessibilidade do Android, para ler a tela e agir no lugar do usuário.

No caso analisado, o disfarce é o TVTap, aplicativo de IPTV. A vítima clica no anúncio, cai numa página que parece a loja do Google e instala o falso app por fora do canal oficial.

Por isso o alerta vale mesmo sem o malware ter chegado por aqui: instale aplicativos apenas pela Play Store e desconfie de propaganda que oferece programas que você não encontra na busca da loja.

Esse padrão de reaproveitamento de técnicas já apareceu em outros casos recentes, como o malware Android que se reinstala sozinho mesmo depois de apagado.

Como o RemControl age no aparelho

Uma vez instalado, o RemControl usa o serviço de acessibilidade para três finalidades principais:

• exibir uma tela falsa por cima do app bancário legítimo, capturando login e senha;
• transmitir a tela do celular em tempo real para o operador;
• permitir o controle remoto total do dispositivo.

Na prática, o criminoso enxerga o que a vítima vê e pode tocar, digitar e navegar como se estivesse com o telefone na mão.

Para escapar da detecção, o instalador tem truques agressivos. Ele bloqueia o Google Play Protect por meio de uma VPN local no próprio aparelho e gera um certificado de assinatura único a cada instalação, o que dificulta identificar o arquivo por comparação.

O endereço do servidor que comanda o malware não fica fixo no código. Ele é obtido por um dead-drop criptografado no Telegram, técnica em que o dado de contato do servidor de comando e controle fica escondido em um canal e só é lido no momento certo.

O detalhe da IA e o rastro de origem

O que mais chamou atenção foram os sinais de que partes do RemControl foram montadas com ajuda de inteligência artificial. Em uma das páginas de phishing, os pesquisadores encontraram, deixada literalmente no código, uma resposta de assistente de IA que deveria ter sido apagada pelos criadores.

Há ainda comentários em russo no código das telas falsas, o que sugere que ao menos parte do desenvolvimento passou por um falante de russo.

O RemControl funciona no modelo de Malware-as-a-Service, com sistema de afiliados e painéis para acompanhar as operações, e apresenta indícios de possível ligação com a botnet Medusa UNKN.

As primeiras amostras foram observadas em julho de 2026, mas a estrutura de apoio já estava no ar desde maio de 2026.

Não há número divulgado de vítimas nem estimativa de prejuízo financeiro ligado ao RemControl até agora.

Como se proteger

Contra esse tipo de ameaça, algumas regras simples reduzem muito o risco:

• baixe apps somente da loja oficial e ignore links de download vindos de anúncios;
• desconfie de qualquer aplicativo que peça permissão de acessibilidade sem necessidade real;
• nunca informe login e senha em telas que aparecem sozinhas por cima do app do banco;
• revise as permissões concedidas e remova o que você não reconhece.

O mesmo cuidado ajuda a barrar golpes já comuns por aqui, como o golpe da clonagem de WhatsApp, em que ninguém legítimo pede seu código de seis dígitos.