Group-IB ha descubierto RemControl, un troyano bancario para Android que utiliza una falsa descarga de TVTap como cebo y puede suplantar aplicaciones de entidades españolas. Su objetivo es obtener PIN, códigos de banca móvil y otros datos financieros mediante pantallas falsas superpuestas a las aplicaciones bancarias.
El análisis, publicado el 23 de septiembre de 2026, confirma más de 30 objetivos de phishing entre entidades de Italia, Francia, España, Polonia, Portugal, Canadá y países del Golfo. Que haya bancos españoles en esa lista no confirma víctimas ni una campaña de distribución observada en España. Tampoco se ha establecido cuántos dispositivos están infectados.
Una VPN local para interferir con Play Protect
La infección comienza en páginas que imitan Google Play y ofrecen una supuesta descarga de TVTap, una aplicación de televisión por internet. En una campaña observada en Italia, esas páginas solo entregaban el archivo malicioso a móviles con una dirección IP italiana: la distribución estaba limitada geográficamente.
Durante la instalación, el programa pide activar una VPN local. Group-IB explica que la utiliza para bloquear el tráfico de Google Play Store e impedir las comprobaciones de Play Protect mientras se instala. El bloqueo de Google Play también aparece en el caso de ToxicPanda 2.0, otro malware dirigido a cuentas bancarias en Android.
Después, RemControl solicita acceso al servicio de Accesibilidad de Android. Sus capacidades incluyen transmitir capturas de pantalla y elementos de la interfaz, registrar entradas y ejecutar acciones remotas. El riesgo, por tanto, abarca tanto el robo de datos mediante formularios fraudulentos como la interacción a distancia con el dispositivo.
Las solicitudes que deben alertar
La secuencia documentada ofrece señales concretas para interrumpir el engaño: una descarga de TVTap desde una página que aparenta ser Google Play, seguida de peticiones para activar una VPN local y conceder acceso a Accesibilidad. Ante esa combinación, la precaución es detener la instalación y no autorizar esos permisos. La apariencia de tienda oficial forma parte del propio señuelo.
