'RemControl'라는 새로운 안드로이드 뱅킹 악성코드가 발견됐습니다. 이 악성코드는 인기 IPTV 앱(TVTap)을 사칭한 가짜 Google Play 페이지로 사용자를 유인해 설치를 유도합니다. 설치 후에는 접근성 서비스(Accessibility Service) 권한을 악용해 스마트폰 전체를 장악하고, 은행 앱 위에 가짜 로그인 화면을 띄워 PIN·카드 정보를 빼냅니다. 이탈리아, 프랑스, 스페인, 폴란드 등 30개 이상 은행의 고객이 표적이며, 악성코드 제거 시도 자체를 차단하는 기능도 갖추고 있습니다. 악성코드-서비스형(MaaS) 방식으로 운영되며, C2 서버 주소를 텔레그램 채널에 암호화해 숨기는 등 탐지 회피 기술이 정교합니다.
그룹-IB(Group-IB)가 RemControl이라는 신종 안드로이드 뱅킹 트로이목마를 발견했다. TVTap IPTV 앱을 사칭한 가짜 Google Play 페이지를 통해 배포되며, 2026년 5월부터 인프라가 구축되고 7월부터 샘플이 확인됐다.
이탈리아·프랑스·스페인·폴란드·포르투갈·캐나다·일부 걸프 국가의 30개 이상 은행 고객이 표적이다. 뱅킹 PIN, 모바일 뱅킹 코드, 카드 유효기간, 화면 잠금 패턴 등 민감 정보가 탈취되며, 피해자가 악성코드를 직접 제거하는 것도 차단된다.
공식 스토어에 없는 앱을 비공식 경로에서 설치하는 사용자 습관을 악용했다. 접근성 서비스 권한을 획득한 후 오버레이(가짜 화면 덮기) 공격으로 자격증명을 수집하며, 설치마다 새 서명 인증서를 생성해 해시·인증서 기반 탐지를 우회한다.
공식 앱 스토어 외 출처에서의 앱 설치를 금지하는 정책 강화가 필요하다. 접근성 서비스 권한 요청 앱에 대한 MDM 차단 규칙 적용을 권고한다. 사용자 대상 피싱·사회공학 인식 교육도 병행해야 한다.
RemControl은 MaaS(악성코드-서비스) 형태로 판매되므로 다양한 공격자가 활용할 수 있어 확산 위험이 높다. 기업 모바일 보안 정책에서 비공식 APK 설치(사이드로딩) 차단 및 접근성 서비스 권한 모니터링을 즉시 점검해야 한다.
본문
보안 연구기관 Group-IB가 RemControl이라는 새로운 안드로이드 뱅킹 트로이목마를 발견했다. 이 악성코드는 피해자를 속여 가짜 TV 앱을 설치하게 만든 뒤 스마트폰을 장악해 뱅킹 PIN을 탈취한다.
연구진은 이 악성코드가 이탈리아, 프랑스, 스페인, 폴란드, 포르투갈, 캐나다 및 일부 걸프 국가의 30개 이상 은행 고객을 표적으로 삼는다는 사실을 확인했다. 최초 샘플은 2026년 7월 19일 VirusTotal에 제출됐으며, C2(명령 및 제어) 서버에 사용된 도메인은 그보다 두 달 앞선 5월 12일에 등록됐다.
Group-IB는 "RemControl은 TVTap IPTV 애플리케이션을 사칭하는 가짜 Google Play 스토어 페이지를 통해 유포됩니다. TVTap은 Google Play 스토어에 등록되지 않은 인기 서드파티 IPTV 앱으로, 사용자들이 비공식 경로에서 다운로드하는 데 익숙해져 있습니다. 이 때문에 이런 IPTV 앱들은 안드로이드 악성코드 배포에 가장 많이 악용되는 미끼 중 하나입니다"라고 설명했다.
이탈리아 은행 고객을 겨냥한 한 캠페인에서는 여섯 개의 웹사이트가 해당 페이지를 호스팅했다. 이 페이지들은 이탈리아 IP 주소를 가진 모바일 기기에만 악성 앱을 제공한다. 또한 두 개의 Meta 픽셀 추적 코드가 포함돼 있어, 운영자가 Meta 플랫폼 광고를 구매해 피해자를 다운로드 페이지로 유인하고 있는 것으로 추정된다.
RemControl이 스마트폰을 장악하는 방식
앱을 열면 드로퍼(dropper, 악성코드를 심는 설치 프로그램)가 가짜 TVTap 업데이트 화면을 표시한다. 피해자가 설치를 누르면 VPN 서비스 시작 권한을 요청한다. 이 VPN은 Google Play 스토어 앱의 네트워크 트래픽을 차단해 Google Play Protect가 설치 파일을 검사하지 못하게 한다.
이후 드로퍼는 기기에서 새로운 서명 인증서를 직접 생성하고, 악성코드에 서명한 뒤 설치한다. 설치마다 서로 다른 인증서가 생성되므로 파일 해시나 인증서 기반 탐지가 무력화된다. 최신 버전에서는 커스텀 패커로 악성코드 코드를 암호화하기도 한다.
설치된 악성코드는 즉시 피해자에게 접근성 서비스(Accessibility Service) 권한을 요청한다. 연구진에 따르면 이 권한은 거의 모든 안드로이드 뱅킹 트로이목마가 악용하는 것으로, RemControl이 기기 전체를 제어할 수 있게 해준다.
드로퍼가 피해자에게 다른 앱 설치 권한을 요청하는 화면 (출처: Group-IB)
이 권한들을 획득하면 RemControl은 다음 작업을 수행할 수 있다:
- 표적 뱅킹 앱 위에 가짜 로그인 화면을 덮어씌워 PIN, 모바일 뱅킹 코드, 카드 유효기간을 탈취한다. 표적 목록은 운영자가 언제든지 변경할 수 있다.
- 공격자에게 실시간 스크린샷과 함께 화면에 표시된 모든 요소의 텍스트 및 위치 정보를 전송한다.
- 모든 앱에서의 클릭과 입력 텍스트를 기록하고, 원격으로 화면 탭·스와이프·타이핑을 실행한다.
- 잠금화면의 패턴 격자를 캡처해 삼성, 샤오미, 화웨이를 포함한 10개 안드로이드 버전의 잠금 패턴을 재구성한다.
- 앱 제거, 접근성 권한 해제, 공장 초기화에 사용되는 설정 화면으로 이동하지 못하도록 리디렉션해 피해자가 악성코드를 제거하는 것을 차단한다.
악성코드는 두 개의 공개 텔레그램 채널에 암호화된 텍스트로 게시된 내용에서 C2 서버 주소를 찾는다. 이를 통해 운영자는 새 버전을 배포하지 않고도 새 서버로 전환할 수 있다.
AI가 작성한 피싱 페이지
조사 과정에서 공격자 서버의 문서가 외부에 공개된 상태로 발견됐다. 해당 문서는 가짜 뱅킹 화면을 전달하고 탈취한 자격증명을 수신하는 기능을 '퀴즈 답변 처리'로 표현했으며, '자녀 보호 모니터링'을 언급하고 있었다.
연구진은 "이 캠페인에서 특히 주목할 점은 인프라 전반에 걸쳐 AI 보조 개발의 흔적이 발견된다는 것입니다. 운영자는 AI 어시스턴트를 이용해 C2 백엔드와 피싱 오버레이의 상당 부분을 자녀 보호 애플리케이션이라는 명목으로 구축한 것으로 보이며, AI는 자신이 실제로 무엇을 만드는지 인지하지 못했습니다"라고 설명했다.
문서에는 RemControl이 악성코드-서비스형(MaaS, Malware-as-a-Service) 방식으로 제공된다는 사실도 나타나 있다.
일부 가짜 로그인 화면 파일에서 러시아어 주석이 발견돼, 코드의 일부가 러시아어 사용자에 의해 작성됐음을 시사한다.
Group-IB는 모든 샘플에서 발견된 제휴 태그를 근거로 운영자를 UNKK로 추적하고 있다. 연구진은 Medusa 뱅킹 트로이목마의 제휴 운영자인 UNKN과의 연관 가능성을 제기했다. 두 그룹은 유사한 드로퍼 이름, 동일한 배포 방식, C2 서버를 숨기기 위한 텔레그램 채널 사용 등 공통점이 있으며, 태그도 한 글자만 다르다.
Group-IB는 "이러한 지표들이 동일 운영자의 가능성을 시사하지만, 현재 확보된 증거만으로는 확정적인 연관성을 단정할 수 없다"고 결론지었다.
