유럽·캐나다 이용자를 노리는 신종 안드로이드 뱅킹 악성코드 RemControl 등장

한 줄 요약

RemControl라는 새로운 안드로이드 악성코드가 서비스 형태로 유럽(이탈리아, 프랑스, 스페인, 폴란드, 포르투갈)과 캐나다, 중동 국가의 이용자를 겨냥하고 있습니다. 이 악성코드는 TVTap IPTV 앱을 사칭한 가짜 Google Play 페이지를 통해 배포되며, 설치되면 정식 뱅킹 앱 위에 가짜 화면(피싱 오버레이)을 띄워 은행 비밀번호·카드 정보·인증 코드를 훔칩니다. 접근성 서비스(Accessibility Service) 권한을 악용해 화면 녹화, 원격 조작, 앱 삭제 방해 등 광범위한 기능을 수행하며, Telegram 채널에서 암호화된 명령 서버 정보를 받아 탐지를 피합니다. 공식 앱 마켓 외부에서 APK 파일을 설치하지 않고, 불필요한 앱의 접근성 권한 요청을 거절하는 것이 핵심 예방책입니다.

사건

RemControl라는 안드로이드 뱅킹 악성코드가 서비스형(MaaS) 플랫폼으로 운영되며 TVTap IPTV 앱을 사칭한 가짜 Google Play 페이지를 통해 유럽·캐나다·중동 이용자를 대상으로 확산 중이다. 2026년 5월부터 인프라가 활성화됐으며 7월에 샘플이 처음 포착됐다.

영향

30개 이상의 뱅킹 피싱 오버레이를 통해 PIN·카드 유효기간·인증 코드·계정 자격증명을 탈취한다. 실시간 화면 스트리밍, 원격 터치 조작, 패턴 잠금 좌표 캡처, 앱 삭제 방해 등 기기 전반을 통제할 수 있다.

원인

이용자가 공식 마켓 외부의 악성 사이트에서 가짜 APK를 설치하고 접근성 서비스 권한을 허용함으로써 피해가 발생한다. 악성코드는 설치 즉시 VPN 서비스로 Google Play Protect의 실시간 검사를 차단한다.

대응

Group-IB가 위협을 분석·공개했다. 이용자에게는 공식 Google Play 외부 APK 설치 금지, Play Protect 정기 검사 활성화, 불필요한 앱의 접근성 서비스 권한 거절이 권고된다.

실무 포인트

기업 모바일 보안 정책에서 사이드로딩(외부 APK 설치) 차단과 MDM을 통한 접근성 권한 모니터링을 강화해야 한다. RemControl은 Telegram을 C2 로테이션에 활용하므로 기업 네트워크에서 비업무용 Telegram 트래픽 모니터링도 고려할 만하다.

본문

RemControl이라는 새로운 안드로이드 악성코드-서비스(MaaS) 플랫폼이 TVTap IPTV 애플리케이션을 사칭한 악성 광고(malvertising) 캠페인을 통해 이용자를 겨냥하고 있다.

인프라는 적어도 5월부터 활성화되어 있었지만, 첫 샘플은 7월에 포착됐으며 뱅킹 자격증명을 탈취하기 위한 30개 이상의 피싱 오버레이가 포함되어 있었다.

사이버보안 기업 Group-IB의 연구원들에 따르면, 해당 악성코드는 유럽(이탈리아, 프랑스, 스페인, 폴란드, 포르투갈), 캐나다, 중동 국가의 이용자를 표적으로 삼는다.

오버레이 중 하나에서는 AI 어시스턴트 응답 화면이 표시됐으며, 이는 AI 모델의 도움을 받아 제작됐음을 강하게 시사한다.

피싱 오버레이에서 드러난 AI 활용 흔적

출처: Group-IB

RemControl은 TVTap IPTV 앱을 사칭한 가짜 Google Play 페이지를 통해 배포되며, 적어도 하나의 이탈리아 캠페인에서는 지오펜싱(geofencing)과 모바일 User-Agent 검사를 활용한 것으로 확인됐다.

악성 사이트에는 Meta Pixel 추적 ID가 포함되어 있어, Group-IB는 운영자가 Meta의 광고 생태계를 악용해 피해자를 다운로드 페이지로 유인했을 것으로 보고 있다.

가짜 Google Play 사이트

출처: Group-IB

악성코드가 실행되면 드로퍼(dropper)가 VPN 서비스를 시작해 Google Play 서비스로의 트래픽을 차단함으로써, Play Protect가 알려진 악성코드에 대한 실시간 검사를 수행하지 못하게 막는다.

이 기능은 최근 ToxicPanda 악성코드의 신규 버전에서도 관찰된 바 있다. ToxicPanda는 16개국에서 사용되는 349개 금융·암호화폐·디지털 지갑 앱을 대상으로 피싱 오버레이를 활용하는 훨씬 더 대규모의 작전이다.

16개국에서 사용되는 349개 뱅킹·금융·암호화폐·전자지갑 애플리케이션을 표적으로 하는 피싱 오버레이.

설치 과정에서 악성코드는 접근성 서비스(Accessibility Service) 권한 승인을 요청한다.

출처: Group-IB

요청된 권한이 허용되면 RemControl은 다음 작업을 수행할 수 있다:

정식 뱅킹 앱 위에 전체 화면 피싱 오버레이를 표시하고 PIN, 뱅킹 코드, 카드 유효기간, 자격증명을 탈취
명령 및 제어(C2) 인프라로부터 새로운 뱅킹 표적을 동적으로 수신
스크린샷과 안드로이드 접근성/UI 트리 전체를 실시간으로 운영자에게 스트리밍
애플리케이션 전반에 걸쳐 클릭, 텍스트 변경, 포커스 이벤트 및 기타 사용자 입력 기록
탭, 스와이프, 스크롤, 제스처, 길게 누르기, 텍스트 입력 등을 원격으로 수행
Samsung, Xiaomi, Huawei, OPPO, OnePlus 및 순정 안드로이드를 포함한 여러 OEM 기기에서 안드로이드 패턴 잠금 좌표 캡처
피해자가 애플리케이션 관리, 접근성 설정 또는 초기화(factory-reset) 설정 화면에 진입하는 것을 감지해 자동으로 해당 화면을 종료함으로써 앱 삭제 방해

RemControl은 Telegram 채널에서 암호화된 C2 정보를 가져오므로, 인프라가 차단되더라도 동적으로 교체할 수 있다.

Group-IB는 초기 C2 프록시에서 노출된 FastAPI 문서를 발견했으며, 이를 통해 악성코드가 뱅킹 오버레이를 가져오고 탈취한 자격증명을 전송하는 데 사용하는 엔드포인트를 확인했다.

RemControl 배후 위협 행위자의 출처는 불분명하지만, 연구원들은 일부 오버레이의 HTML 파일에서 러시아어를 발견해 적어도 일부 오버레이의 개발자가 러시아어 사용자임을 파악했다.

분석된 샘플에서 공통 식별자를 발견한 연구원들은 RemControl 운영자를 UNKK로 추적하고 있으며, Medusa 뱅킹 트로이목마와의 연관성을 의심하고 있다.

안드로이드 이용자는 명시적으로 신뢰하는 배포처가 아닌 한 Google Play 외부에서 APK 파일을 다운로드하지 않도록 권고된다.

Play Protect 정기 검사 활성화와, 접근성 목적으로 필요하지 않은 앱의 접근성 서비스 권한 요청 거절도 권장되는 보안 수칙이다.