Una nueva amenaza financiera se ha extendido silenciosamente por Europa y Canadá: una plataforma de malware bancario para Android denominada RemControl, que opera bajo el modelo Malware-as-a-Service (MaaS) y ya ha sido detectada en campañas de malvertising que suplantan la aplicación IPTV TVTap. Aunque la infraestructura asociada a esta operación está activa desde al menos mayo de 2024, los primeros ejemplares del troyano fueron observados en julio e incorporan más de treinta superposiciones de phishing diseñadas para robar credenciales bancarias, códigos de acceso, fechas de caducidad de tarjetas y datos personales. Los investigadores de ciberseguridad de Group-IB han identificado que el malware se dirige a usuarios en Italia, Francia, España, Polonia, Portugal, Canadá y varios países de Oriente Medio. Uno de los indicios más llamativos es que una de las superposiciones de phishing muestra una respuesta generada por un asistente de inteligencia artificial, lo que sugiere que los desarrolladores recurrieron a modelos de IA para construir parte de la interfaz de engaño.
¿Qué es RemControl y cómo funciona el malware bancario como servicio?
RemControl es un troyano bancario para Android distribuido como una plataforma Malware-as-a-Service, lo que significa que sus creadores alquilan la infraestructura y las capacidades del malware a otros ciberdelincuentes a cambio de un pago o comisión sobre los datos robados. Este modelo de negocio ha proliferado en los últimos años porque permite a actores con pocos conocimientos técnicos lanzar ataques sofisticados. En el caso de RemControl, el malware se especializa en el robo de credenciales financieras mediante superposiciones de phishing que se activan cuando la víctima abre aplicaciones bancarias legítimas en su dispositivo. El troyano no solo captura información introducida por el usuario, sino que también puede transmitir en tiempo real capturas de pantalla y el árbol completo de accesibilidad de Android al servidor de control (C2), lo que otorga a los atacantes una visibilidad sin precedentes sobre cada interacción de la víctima.
Distribución mediante páginas falsas de Google Play y malvertising
La distribución de RemControl se apoya en campañas de malvertising que suplantan la aplicación TVTap IPTV, una popular herramienta para ver televisión en streaming. Los atacantes crean páginas falsas que imitan a Google Play, con apariencia casi idéntica, y utilizan técnicas de segmentación geográfica (geofencing) para que solo ciertos usuarios en países objetivo vean los anuncios maliciosos. Además, aplican filtros basados en el User-Agent del navegador móvil, asegurándose de que solo dispositivos Android sean redirigidos a las páginas de descarga. Group-IB descubrió que los sitios maliciosos incluyen identificadores de seguimiento de Meta Pixel, lo que indica que el operador habría utilizado el ecosistema publicitario de Meta (Facebook e Instagram) para dirigir tráfico hacia las páginas falsas, una táctica que combina ingeniería social con publicidad digital para maximizar el alcance de las infecciones.
Mecanismo dropper: VPN que bloquea Google Play Protect
Una de las características más peligrosas de RemControl es su mecanismo de evasión. Cuando la víctima ejecuta el instalador (dropper), este inicia un servicio de VPN en el dispositivo que bloquea todo el tráfico hacia los servicios de Google Play. Esto impide que Google Play Protect, el sistema de protección integrado de Android, pueda realizar análisis en tiempo real contra el malware antes de que se complete la instalación. Este mismo método ha sido observado en versiones recientes del troyano ToxicPanda, una operación mucho mayor que emplea superposiciones de phishing para 349 aplicaciones financieras, de criptomonedas y billeteras digitales en 16 países. La similitud técnica sugiere que los desarrolladores de RemControl podrían haber tomado prestadas o compartido técnicas con otros grupos de ciberdelincuencia.
Permisos de accesibilidad: la puerta de entrada al control total del dispositivo
Durante el proceso de instalación, RemControl solicita al usuario que conceda permisos de accesibilidad (Accessibility Service), una característica legítima de Android diseñada para ayudar a personas con discapacidades visuales o motoras. Sin embargo, en manos de un actor malicioso, estos permisos otorgan un control casi absoluto sobre el dispositivo. Si la víctima acepta, el malware puede monitorizar cada pulsación, cada cambio de texto, cada evento de foco y cualquier otra interacción del usuario en todas las aplicaciones. Además, puede realizar acciones remotas como toques, deslizamientos, gestos, presiones largas e incluso inyección de texto, lo que permite a los atacantes interactuar con las aplicaciones bancarias como si fueran el propio usuario.
Capacidades completas de RemControl una vez concedidos los permisos
Group-IB ha detallado las acciones que RemControl puede ejecutar tras obtener los permisos de accesibilidad. El malware puede mostrar superposiciones de phishing a pantalla completa sobre aplicaciones bancarias legítimas para robar PIN, códigos bancarios, fechas de caducidad de tarjetas y credenciales completas. También puede recibir dinámicamente nuevos objetivos bancarios desde la infraestructura de comando y control (C2), lo que permite a los atacantes actualizar la lista de aplicaciones atacadas sin necesidad de actualizar el malware. Además, transmite en tiempo real capturas de pantalla y el árbol de accesibilidad de Android al operador, registra clics, cambios de texto, eventos de foco y cualquier otra entrada del usuario en todas las aplicaciones. De forma remota, los atacantes pueden ejecutar toques, deslizamientos, desplazamientos, gestos, presiones largas e inyección de texto. El malware también captura coordenadas de patrones de desbloqueo en dispositivos de múltiples fabricantes, incluyendo Samsung, Xiaomi, Huawei, OPPO, OnePlus y Android sin personalizar. Por último, para impedir su eliminación, RemControl detecta cuándo la víctima accede a los menús de gestión de aplicaciones, accesibilidad o restablecimiento de fábrica, y abandona automáticamente la ejecución para evitar ser desinstalado.
Países, sectores financieros y el uso de inteligencia artificial en los ataques
RemControl ha sido detectado atacando aplicaciones bancarias en Italia, Francia, España, Polonia, Portugal, Canadá y países de Oriente Medio. La selección de estos mercados no es aleatoria: todos ellos tienen una alta penetración de banca móvil y sistemas de autenticación basados en aplicaciones, lo que los convierte en objetivos lucrativos. El malware incluye más de treinta superposiciones de phishing específicas para diferentes entidades financieras, y puede recibir nuevos objetivos desde el servidor C2 de forma dinámica. Esto significa que la lista de bancos atacados podría ampliarse en cualquier momento sin que el usuario note cambios en el comportamiento del malware.
Superposiciones de phishing generadas con ayuda de modelos de IA
Uno de los hallazgos más relevantes de Group-IB es la presencia de respuestas generadas por un asistente de inteligencia artificial dentro de una de las superposiciones de phishing. Esto sugiere que los desarrolladores de RemControl utilizaron modelos de lenguaje avanzados para diseñar interfaces de engaño más convincentes y adaptables. La utilización de IA en la creación de contenido de phishing no es nueva, pero su integración directa en las superposiciones de un troyano bancario es una señal de que los ciberdelincuentes están adoptando estas herramientas para aumentar la tasa de éxito de sus ataques. Las superposiciones no solo imitan el diseño de las aplicaciones legítimas, sino que también pueden incluir mensajes contextuales que se adaptan a la información que el malware ha recopilado previamente del dispositivo.
Conexión con Medusa y el rastro del operador UNKK
El origen del actor de amenaza detrás de RemControl no está completamente claro, pero los investigadores encontraron fragmentos en ruso en los archivos HTML de algunas superposiciones, lo que indica que al menos parte del desarrollo fue realizada por un hablante de ruso. Basándose en un identificador común presente en las muestras analizadas, Group-IB rastrea al operador de RemControl bajo el nombre UNKK. Además, los investigadores sospechan una conexión entre RemControl y el conocido troyano bancario Medusa, que ha sido responsable de campañas de phishing masivo mediante SMS. Esta posible vinculación sugiere que los mismos grupos detrás de Medusa podrían estar probando nuevas variantes o que UNKK habría adquirido o replicado parte del código de Medusa para lanzar su propia operación MaaS.
Cómo protegerse: recomendaciones prácticas para usuarios Android
La propagación de RemControl y de otros troyanos bancarios similares resalta la importancia de seguir prácticas de seguridad básicas en dispositivos Android. La principal recomendación es evitar la descarga de archivos APK desde fuera de Google Play, a menos que se confíe explícitamente en el editor y se tenga una necesidad justificada. Incluso dentro de la tienda oficial, es recomendable verificar la legitimidad de las aplicaciones revisando el nombre del desarrollador, el número de descargas y las reseñas, prestando especial atención a las aplicaciones que imitan a otras conocidas. Mantener activo Google Play Protect y permitir que realice análisis periódicos es otra capa de defensa fundamental, aunque RemControl ha demostrado que puede bloquear estos análisis mediante el uso de una VPN falsa. Por ello, si una aplicación solicita permisos de accesibilidad sin que exista una razón clara relacionada con la accesibilidad (por ejemplo, una aplicación bancaria o un reproductor IPTV no necesitan estos permisos), es una señal de alerta que debe llevar a rechazar la solicitud y desinstalar la aplicación de inmediato.
Señales de alerta y acciones ante una posible infección
Los usuarios deben estar atentos a comportamientos anómalos en sus dispositivos, como la aparición de ventanas de inicio de sesión inesperadas cuando abren aplicaciones bancarias, mensajes solicitando permisos de accesibilidad sin justificación, o un consumo excesivo de batería y datos que podría indicar la transmisión de información a un servidor remoto. Ante la sospecha de infección, se recomienda realizar un análisis completo con una solución de seguridad móvil de confianza, revisar los permisos concedidos a cada aplicación, y en caso de confirmar la presencia de malware, restaurar el dispositivo a su configuración de fábrica después de realizar una copia de seguridad de los datos personales que no estén comprometidos. Es importante cambiar inmediatamente las contraseñas de las cuentas bancarias y de cualquier otro servicio financiero al que se haya accedido desde el dispositivo infectado, preferiblemente desde un equipo limpio y utilizando autenticación multifactor siempre que sea posible.
La emergencia de RemControl confirma una tendencia preocupante en el ecosistema de ciberamenazas móviles: la profesionalización del malware como servicio, la adopción de técnicas de evasión avanzadas como el bloqueo de Google Play Protect mediante VPN, y la integración de inteligencia artificial para perfeccionar los engaños. La operación, aunque todavía limitada en alcance geográfico y número de superposiciones, muestra una arquitectura flexible que permite a sus operadores rotar infraestructura dinámicamente a través de canales de Telegram y actualizar objetivos en tiempo real. Mientras la banca móvil sigue creciendo en España y América Latina, la aparición de amenazas como RemControl subraya la necesidad de que tanto las entidades financieras como los usuarios refuercen sus defensas, mantengan una actitud crítica ante las descargas de aplicaciones y desconfíen de cualquier solicitud de permisos que no sea estrictamente necesaria. La conexión entre RemControl y el troyano Medusa, junto con la actividad del operador UNKK, sugiere que este tipo de ataques no harán más que multiplicarse en los próximos meses, exigiendo una vigilancia constante por parte de la comunidad de ciberseguridad y de los propios usuarios.
