Jak pozbyć się trojana bankowego RemControl na Androida

Jakim rodzajem malware jest RemControl?

RemControl to bankowy trojan na system Android oraz trojan zdalnego dostępu (RAT), którego celem są klienci bankowości detalicznej w Europie Zachodniej, na Bliskim Wschodzie i w Kanadzie. Działa jako platforma Malware-as-a-Service (MaaS). Według badań opublikowanych przez Group-IB malware zostało po raz pierwszy zidentyfikowane w lipcu 2026 roku, a jego infrastruktura jest aktywna od maja 2026 roku.

Przegląd trojana bankowego RemControl

RemControl jest rozpowszechniany za pośrednictwem fałszywych stron Google Play Store podszywających się pod TVTap - popularną aplikację IPTV do oglądania kanałów telewizyjnych na żywo. Fałszywe strony wyświetlają ocenę 4,9 gwiazdki i ponad 5 milionów pobrań, aby wyglądać wiarygodnie, a ofiary są na nie zwabiane za pomocą malvertisingu na platformie reklamowej Meta.

Po uruchomieniu dropper wyświetla fałszywy ekran „Update TVTap" i prosi o pozwolenie na skonfigurowanie połączenia VPN. Ta sieć VPN nie służy ochronie ofiary - odcina ona Google Play Store od internetu, dzięki czemu Google Play Protect nie może przeskanować malware podczas jego instalacji.

Każda zainstalowana kopia jest ponadto podpisana inaczej, co utrudnia jej rozpoznanie przez narzędzia bezpieczeństwa. Po instalacji ładunek twierdzi, że TVTap nie jest aktywny, i prowadzi ofiarę do włączenia Ułatwień dostępu w ustawieniach, co daje malware pełną kontrolę nad urządzeniem.

Od tego momentu RemControl obserwuje, która aplikacja jest otwarta. Gdy ofiara uruchomi jedną z ponad 30 docelowych aplikacji bankowych, malware zakrywa ją fałszywym ekranem logowania z prośbą o podanie danych, takich jak numer klienta, PIN lub kod zabezpieczający. Po przesłaniu danych fałszywy ekran zamyka się, a prawdziwa aplikacja pojawia się ponownie.

Operator może również obserwować ekran urządzenia na żywo i sterować nim zdalnie - dotykając, przesuwając i pisząc tak, jakby trzymał telefon w ręku. RemControl może rejestrować naciśnięcia klawiszy (keylogging), przechwytywać wzór odblokowania ekranu i odczytywać zawartość schowka, co może ujawnić skopiowane hasła lub kody.

Przechwytywanie wzoru odblokowania działa na ekranach blokady wielu popularnych producentów telefonów, w tym Samsung, Xiaomi, Huawei, OPPO i OnePlus, a także w standardowym systemie Android.

Aby utrudnić usunięcie, malware blokuje dostęp do ekranów ustawień służących do odinstalowywania aplikacji, zarządzania Ułatwieniami dostępu lub przywracania ustawień fabrycznych, natychmiast je zamykając. Ponadto znajduje adres swojego serwera za pośrednictwem martwej skrzynki w Telegramie, dzięki czemu atakujący mogą zmieniać serwery bez aktualizowania malware.

Firma Group-IB ustaliła, że RemControl jest wynajmowany innym cyberprzestępcom w formie usługi, wraz z panelem do tworzenia nowych wersji, zarządzania zainfekowanymi urządzeniami i edytowania fałszywych ekranów logowania. Co istotne, część malware została stworzona z pomocą sztucznej inteligencji - jedna z aktywnych stron phishingowych zawierała nawet pozostawioną pod formularzem logowania odpowiedź chatbota AI.

Podsumowując, obecność RemControl na urządzeniu może prowadzić do poważnych naruszeń prywatności, strat finansowych, nieautoryzowanych transakcji bankowych i kradzieży tożsamości. Twórcy malware często udoskonalają swoje oprogramowanie, więc przyszłe wersje RemControl mogą mieć dodatkowe lub inne funkcje.

Przykłady trojanów bankowych na Androida

RemControl dołącza do rosnącej listy trojanów bankowych na Androida, które nadużywają usługi Ułatwień dostępu, aby kraść dane uwierzytelniające do bankowości za pomocą nakładek phishingowych, przechwytywać jednorazowe kody wysyłane SMS-em i zapewniać operatorom zdalną kontrolę nad zainfekowanymi urządzeniami w czasie rzeczywistym. Inne przykłady podobnych trojanów bankowych na Androida to Rokarolla, OverlayPhantom i PhantomCard/NFCShare.

Niezależnie od tego, jak dokładnie zachowuje się dane malware, efekt końcowy jest taki sam: stanowi ono poważne zagrożenie dla urządzenia i jego właściciela. Stosowanie bezpiecznych nawyków i korzystanie z renomowanego oprogramowania zabezpieczającego to najskuteczniejsze sposoby ochrony.

Jak RemControl dostał się na moje urządzenie?

RemControl jest rozpowszechniany za pośrednictwem fałszywych stron Google Play Store podszywających się pod aplikację IPTV TVTap. Ponieważ TVTap nie jest dostępny w oficjalnym sklepie, użytkownicy są już przyzwyczajeni do pobierania go z nieoficjalnych źródeł, co czyni go idealną przynętą.

Firma Group-IB potwierdziła, że operator wykorzystuje kampanie malvertisingowe na platformie reklamowej Meta, aby kierować ruch ofiar na te fałszywe strony. Strony sprawdzają typ przeglądarki i geolokalizację odwiedzającego przed udostępnieniem złośliwego pliku APK, atakując wyłącznie użytkowników urządzeń mobilnych z określonych krajów.

Ogólnie rzecz biorąc, malware na Androida jest również często rozpowszechniane za pośrednictwem zewnętrznych sklepów z aplikacjami, stron phishingowych naśladujących banki lub dostawców usług, złośliwych linków udostępnianych w mediach społecznościowych lub komunikatorach oraz fałszywych monitów o aktualizację oprogramowania.

Jak uniknąć instalacji malware?

Pobieraj aplikacje wyłącznie z oficjalnych źródeł, takich jak Google Play Store lub oficjalna strona internetowa dewelopera. Należy szczególnie uważać na wszelkie strony lub reklamy nakłaniające do pobrania aplikacji spoza oficjalnego sklepu.

Przed zainstalowaniem jakiejkolwiek aplikacji należy sprawdzić jej uprawnienia. Szczególną podejrzliwość powinny budzić aplikacje żądające dostępu do usługi Ułatwień dostępu, ponieważ to uprawnienie jest rzadko potrzebne legalnym aplikacjom i daje aplikacji niemal całkowitą kontrolę nad urządzeniem.

Należy aktualizować system operacyjny urządzenia i wszystkie zainstalowane aplikacje. Zaleca się korzystanie z renomowanego oprogramowania zabezpieczającego na urządzenia mobilne i zachowanie ostrożności wobec linków otrzymanych w wiadomościach e-mail, SMS-ach lub mediach społecznościowych, ponieważ są to popularne kanały dostarczania mobilnego malware.

Fałszywa strona Google Play Store podszywająca się pod TVTap, wykorzystywana do rozpowszechniania RemControl (w języku włoskim, źródło: Group-IB):

Dropper RemControl wyświetlający fałszywy ekran aktualizacji TVTap (źródło: Group-IB):

RemControl żądający dostępu do usługi Ułatwień dostępu (pełna kontrola nad urządzeniem, źródło: Group-IB):

Przykłady nakładek phishingowych wyświetlanych przez RemControl na aplikacjach bankowych:

Zrzut ekranu nakładki uwierzytelniania jednoetapowego (źródło: Group-IB):

Zrzut ekranu nakładki uwierzytelniania dwuetapowego (źródło: Group-IB):

Szybkie menu:

• Wprowadzenie
• Jak usunąć historię przeglądania z przeglądarki Chrome?
• Jak wyłączyć powiadomienia w przeglądarce Chrome?
• Jak zresetować przeglądarkę Chrome?
• Jak usunąć historię przeglądania z przeglądarki Firefox?
• Jak wyłączyć powiadomienia w przeglądarce Firefox?
• Jak zresetować przeglądarkę Firefox?
• Jak odinstalować potencjalnie niechciane i/lub złośliwe aplikacje?
• Jak uruchomić urządzenie z Androidem w „Trybie awaryjnym"?
• Jak sprawdzić zużycie baterii przez różne aplikacje?
• Jak sprawdzić zużycie danych przez różne aplikacje?
• Jak zainstalować najnowsze aktualizacje oprogramowania?
• Jak przywrócić system do stanu domyślnego?
• Jak wyłączyć aplikacje posiadające uprawnienia administratora?

Usuwanie historii przeglądania z przeglądarki Chrome:

Dotknij przycisku „Menu" (trzy kropki w prawym górnym rogu ekranu) i wybierz „Historia" w otwartym menu rozwijanym.

Dotknij „Wyczyść dane przeglądania", wybierz kartę „ZAAWANSOWANE", wybierz zakres czasu i typy danych, które chcesz usunąć, a następnie dotknij „Wyczyść dane".

[Wróć do Spisu treści]

Wyłączanie powiadomień w przeglądarce Chrome:

Dotknij przycisku „Menu" (trzy kropki w prawym górnym rogu ekranu) i wybierz „Ustawienia" w otwartym menu rozwijanym.

Przewiń w dół, aż zobaczysz opcję „Ustawienia witryn", i dotknij jej. Przewiń w dół, aż zobaczysz opcję „Powiadomienia", i dotknij jej.

Znajdź strony internetowe, które wyświetlają powiadomienia, dotknij ich i kliknij „Wyczyść i zresetuj". Spowoduje to usunięcie uprawnień przyznanych tym stronom do wyświetlania powiadomień. Jednak po ponownym odwiedzeniu tej samej strony może ona ponownie poprosić o pozwolenie. Możesz zdecydować, czy udzielić tych uprawnień, czy nie (jeśli odmówisz, strona trafi do sekcji „Zablokowane" i nie będzie już prosić o pozwolenie).

[Wróć do Spisu treści]

Resetowanie przeglądarki Chrome:

Przejdź do „Ustawień", przewiń w dół, aż zobaczysz „Aplikacje", i dotknij tej opcji.

Przewiń w dół, aż znajdziesz aplikację „Chrome", wybierz ją i dotknij opcji „Pamięć".

Dotknij „ZARZĄDZAJ PAMIĘCIĄ", a następnie „WYCZYŚĆ WSZYSTKIE DANE" i potwierdź działanie, dotykając „OK". Pamiętaj, że zresetowanie przeglądarki usunie wszystkie przechowywane w niej dane. Oznacza to, że wszystkie zapisane loginy/hasła, historia przeglądania, niestandardowe ustawienia i inne dane zostaną usunięte. Konieczne będzie również ponowne zalogowanie się na wszystkich stronach internetowych.

[Wróć do Spisu treści]

Usuwanie historii przeglądania z przeglądarki Firefox:

Dotknij przycisku „Menu" (trzy kropki w prawym górnym rogu ekranu) i wybierz „Historia" w otwartym menu rozwijanym.

Przewiń w dół, aż zobaczysz „Wyczyść prywatne dane", i dotknij tej opcji. Wybierz typy danych, które chcesz usunąć, i dotknij „WYCZYŚĆ DANE".

[Wróć do Spisu treści]

Wyłączanie powiadomień w przeglądarce Firefox:

Odwiedź stronę internetową, która wyświetla powiadomienia, dotknij ikony wyświetlanej po lewej stronie paska adresu URL (ikona nie musi być „Kłódką") i wybierz „Edytuj ustawienia witryny".

W otwartym okienku zaznacz opcję „Powiadomienia" i dotknij „WYCZYŚĆ".

[Wróć do Spisu treści]

Resetowanie przeglądarki Firefox:

Przejdź do „Ustawień", przewiń w dół, aż zobaczysz „Aplikacje", i dotknij tej opcji.

Przewiń w dół, aż znajdziesz aplikację „Firefox", wybierz ją i dotknij opcji „Pamięć".

Dotknij „WYCZYŚĆ DANE" i potwierdź działanie, dotykając „USUŃ". Pamiętaj, że zresetowanie przeglądarki usunie wszystkie przechowywane w niej dane. Oznacza to, że wszystkie zapisane loginy/hasła, historia przeglądania, niestandardowe ustawienia i inne dane zostaną usunięte. Konieczne będzie również ponowne zalogowanie się na wszystkich stronach internetowych.

[Wróć do Spisu treści]

Odinstalowywanie potencjalnie niechcianych i/lub złośliwych aplikacji:

Przejdź do „Ustawień", przewiń w dół, aż zobaczysz „Aplikacje", i dotknij tej opcji.

Przewiń w dół, aż zobaczysz potencjalnie niechcianą i/lub złośliwą aplikację, wybierz ją i dotknij „Odinstaluj". Jeśli z jakiegoś powodu nie możesz usunąć wybranej aplikacji (np. wyświetla się komunikat o błędzie), spróbuj skorzystać z „Trybu awaryjnego".

[Wróć do Spisu treści]

Uruchamianie urządzenia z Androidem w „Trybie awaryjnym":

„Tryb awaryjny" w systemie operacyjnym Android tymczasowo blokuje uruchamianie wszystkich aplikacji innych firm. Korzystanie z tego trybu to dobry sposób na diagnozowanie i rozwiązywanie różnych problemów (np. usuwanie złośliwych aplikacji, które uniemożliwiają użytkownikom ich usunięcie, gdy urządzenie działa „normalnie").

Naciśnij przycisk „Zasilanie" i przytrzymaj go, aż zobaczysz ekran „Wyłącz". Dotknij ikony „Wyłącz" i przytrzymaj ją. Po kilku sekundach pojawi się opcja „Tryb awaryjny", którą będzie można uruchomić, ponownie uruchamiając urządzenie.

[Wróć do Spisu treści]

Sprawdzanie zużycia baterii przez różne aplikacje:

Przejdź do „Ustawień", przewiń w dół, aż zobaczysz „Obsługa urządzenia", i dotknij tej opcji.

Dotknij „Bateria" i sprawdź zużycie przez każdą aplikację. Legalne/autentyczne aplikacje są projektowane tak, aby zużywać jak najmniej energii, zapewniając najlepsze wrażenia użytkownika i oszczędzając baterię. Dlatego wysokie zużycie baterii może wskazywać, że aplikacja jest złośliwa.

[Wróć do Spisu treści]

Sprawdzanie zużycia danych przez różne aplikacje:

Przejdź do „Ustawień", przewiń w dół, aż zobaczysz „Połączenia", i dotknij tej opcji.

Przewiń w dół, aż zobaczysz „Użycie danych", i wybierz tę opcję. Podobnie jak w przypadku baterii, legalne/autentyczne aplikacje są projektowane tak, aby maksymalnie ograniczać zużycie danych. Oznacza to, że ogromne zużycie danych może wskazywać na obecność złośliwej aplikacji. Pamiętaj, że niektóre złośliwe aplikacje mogą być zaprojektowane tak, aby działały tylko wtedy, gdy urządzenie jest połączone z siecią bezprzewodową. Z tego powodu należy sprawdzić zarówno zużycie danych mobilnych, jak i Wi-Fi.

Jeśli znajdziesz aplikację, która zużywa dużo danych, mimo że nigdy z niej nie korzystasz, zdecydowanie zalecamy jak najszybsze jej odinstalowanie.

[Wróć do Spisu treści]

Instalowanie najnowszych aktualizacji oprogramowania:

Utrzymywanie aktualności oprogramowania to dobra praktyka w zakresie bezpieczeństwa urządzenia. Producenci urządzeń stale wydają różne poprawki zabezpieczeń i aktualizacje Androida, aby naprawiać błędy, które mogą zostać wykorzystane przez cyberprzestępców. Przestarzały system jest znacznie bardziej podatny na ataki, dlatego zawsze należy upewnić się, że oprogramowanie urządzenia jest aktualne.

Przejdź do „Ustawień", przewiń w dół, aż zobaczysz „Aktualizacja oprogramowania", i dotknij tej opcji.

Dotknij „Pobierz aktualizacje ręcznie" i sprawdź, czy dostępne są jakieś aktualizacje. Jeśli tak, zainstaluj je natychmiast. Zalecamy również włączenie opcji „Pobieraj aktualizacje automatycznie" - pozwoli to systemowi powiadamiać o wydaniu aktualizacji i/lub instalować ją automatycznie.

[Wróć do Spisu treści]

Przywracanie systemu do stanu domyślnego:

Wykonanie „Przywracania ustawień fabrycznych" to dobry sposób na usunięcie wszystkich niechcianych aplikacji, przywrócenie domyślnych ustawień systemu i ogólne wyczyszczenie urządzenia. Należy jednak pamiętać, że wszystkie dane na urządzeniu zostaną usunięte, w tym zdjęcia, pliki wideo/audio, numery telefonów (zapisane w urządzeniu, a nie na karcie SIM), wiadomości SMS itd. Innymi słowy, urządzenie zostanie przywrócone do stanu pierwotnego.

Można również przywrócić podstawowe ustawienia systemowe i/lub same ustawienia sieciowe.

Przejdź do „Ustawień", przewiń w dół, aż zobaczysz „Informacje o telefonie", i dotknij tej opcji.

Przewiń w dół, aż zobaczysz „Resetuj", i dotknij tej opcji. Teraz wybierz działanie, które chcesz wykonać:
„Resetuj ustawienia" - przywraca wszystkie ustawienia systemowe do wartości domyślnych;
„Resetuj ustawienia sieciowe" - przywraca wszystkie ustawienia związane z siecią do wartości domyślnych;
„Ustawienia fabryczne" - resetuje cały system i całkowicie usuwa wszystkie zapisane dane;

[Wróć do Spisu treści]

Wyłączanie aplikacji posiadających uprawnienia administratora:

Jeśli złośliwa aplikacja uzyska uprawnienia na poziomie administratora, może poważnie uszkodzić system. Aby zapewnić urządzeniu jak największe bezpieczeństwo, należy zawsze sprawdzać, które aplikacje mają takie uprawnienia, i wyłączać te, które nie powinny ich mieć.

Przejdź do „Ustawień", przewiń w dół, aż zobaczysz „Ekran blokady i zabezpieczenia", i dotknij tej opcji.

Przewiń w dół, aż zobaczysz „Inne ustawienia zabezpieczeń", dotknij tej opcji, a następnie dotknij „Aplikacje administratora urządzenia".

Zidentyfikuj aplikacje, które nie powinny mieć uprawnień administratora, dotknij ich, a następnie dotknij „DEZAKTYWUJ".

Często zadawane pytania (FAQ)

Moje urządzenie z Androidem jest zainfekowane malware RemControl. Czy powinienem sformatować pamięć urządzenia, aby się go pozbyć?

Formatowanie zazwyczaj nie jest konieczne do usunięcia RemControl. Uruchomienie renomowanego oprogramowania zabezpieczającego na urządzenia mobilne, takiego jak Combo Cleaner, powinno wystarczyć do wykrycia i usunięcia malware z urządzenia.

Jakie są największe problemy, które może powodować malware RemControl?

RemControl może nakładać fałszywe ekrany logowania do banku na legalne aplikacje bankowe, kradnąc kody PIN, kody bankowości mobilnej i dane kart.

Ponadto przesyła operatorowi obraz ekranu w czasie rzeczywistym, rejestruje każde dotknięcie i naciśnięcie klawisza, przechwytuje wzór odblokowania urządzenia oraz uniemożliwia otwieranie ustawień lub przywracanie ustawień fabrycznych telefonu. Efektem końcowym mogą być nieautoryzowane transakcje bankowe, całkowita utrata dostępu do konta i kradzież tożsamości.

Jaki jest cel malware RemControl?

RemControl jest przeznaczony przede wszystkim do oszustw bankowych. Jego operator wykorzystuje go do kradzieży danych uwierzytelniających do bankowości i przejmowania zdalnej kontroli nad zainfekowanymi urządzeniami w celu przeprowadzania nieautoryzowanych transakcji. W niektórych przypadkach motywacją cyberprzestępców mogą być jednak również osobiste urazy, haktywizm lub interesy geopolityczne.

W jaki sposób malware RemControl dostało się na moje urządzenie z Androidem?

RemControl jest rozpowszechniany za pośrednictwem fałszywych stron Google Play Store podszywających się pod aplikację IPTV TVTap, promowanych w ramach kampanii malvertisingowych na platformie Meta.

Malware na Androida jest również często rozpowszechniane za pośrednictwem zewnętrznych sklepów z aplikacjami, linków phishingowych udostępnianych w SMS-ach lub mediach społecznościowych oraz fałszywych monitów o aktualizację oprogramowania. Aplikacje należy zawsze pobierać wyłącznie z oficjalnego sklepu Google Play Store.

Czy Combo Cleaner ochroni mnie przed malware?

Combo Cleaner jest w stanie wykryć i usunąć niemal wszystkie znane infekcje malware. Należy pamiętać, że przeprowadzenie pełnego skanowania systemu jest niezbędne, ponieważ zaawansowane zagrożenia, takie jak RemControl, zazwyczaj osadzają się głęboko w systemie, aby uniknąć łatwego usunięcia.