Group-IB heeft een nieuw Android malware-as-a-service-platform blootgelegd genaamd RemControl, dat zich specifiek richt op het stelen van bankgegevens. Het platform wordt via malvertising verspreid onder gebruikers in Europa en Canada en bevat inmiddels meer dan dertig phishing-overlays die zijn nagebouwd naar bestaande bank-apps.
De verspreiding verloopt via advertenties die zich voordoen als de IPTV-app TVTap. Slachtoffers komen via die advertenties op nagemaakte Google Play-pagina’s terecht, compleet met geofencing zodat alleen bezoekers uit specifieke landen de kwaadaardige versie te zien krijgen, en Meta Pixel-tracking-ID’s waarmee de campagne vermoedelijk via Metas eigen advertentienetwerk wordt gefinancierd. Getroffen landen zijn onder meer Italië, Frankrijk, Spanje, Polen, Portugal, Canada en enkele landen in het Midden-Oosten.
Eenmaal geïnstalleerd vraagt de malware toegang tot de Accessibility Service van Android, waarmee operators vrijwel volledige controle over het toestel krijgen. RemControl toont valse inlogschermen over echte bank-apps heen om pincodes, bankcodes en inloggegevens te onderscheppen, streamt schermafbeeldingen en interfacegegevens live door naar de aanvallers, registreert toetsaanslagen en kan zelfs ontgrendelpatronen van fabrikanten als Samsung, Xiaomi en Huawei vastleggen.
Group-IB linkt het platform aan de bekende Medusa-bankingtrojan en vond Russischtalige strings in de broncode, wat wijst op een Russischsprekende ontwikkelaar. Omdat RemControl als malware-as-a-service wordt aangeboden, kunnen meerdere criminele groepen er onafhankelijk van elkaar gebruik van maken.
Voor Nederlandse Android-gebruikers is het advies onveranderd maar des te relevanter: installeer apps uitsluitend via de Google Play Store, laat Play Protect ingeschakeld en wees achterdochtig zodra een app zonder logische reden om Accessibility-rechten vraagt. Een IPTV- of streaming-app heeft die toegang nooit nodig, en dat geldt eigenlijk voor de meeste apps buiten toegankelijkheidshulpmiddelen.
Bron: BleepingComputer
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.