Alerta Sysadmins: RemControl, nuevo MaaS que suplanta TVTap en campañas maliciosas

Si gestionas endpoints corporativos donde entran teléfonos Android — BYOD de empleados, MDM de empresas LATAM, kioscos logísticos con tablets Android — este análisis de Group-IB es relevante aunque la campaña apunte a bancos europeos. El patrón técnico (dropper TVTap + VPN que bloquea Play Protect + RAT por Accessibility + C2 sobre Telegram + affiliate tag UNKK) es replicable contra cualquier banco LATAM. La diferencia es que aquí la víctima final no es el banco, eres tú si tu banco usa su app en un teléfono infectado.

Qué se anunció

El 23 de septiembre de 2026, Group-IB publicó el análisis técnico de RemControl, un nuevo troyano bancario para Android operado como Malware-as-a-Service (MaaS). El reporte de ~50KB con IOCs, código y atribución está disponible en el blog de Group-IB, y Bill Toulas (BleepingComputer) publicó el mismo día una nota periodística con foco en la distribución.

Los puntos clave, verificados en ambas fuentes:

• Primera muestra en VirusTotal: 19 de julio de 2026. Infraestructura activa desde mayo de 2026 (dominio bnbnhura[.]top registrado el 12 de mayo).

• Más de 30 overlays de phishing activos contra bancos en Italia, Francia, España, Polonia, Portugal, países del Golfo y Canadá.

• Etiquetas de campaña observadas por país: IT-NEW, FR-NEW, pt-v3, ARABIC2, ARABIC3. No se observó todavía targeting LATAM, pero el propio dropper soporta 30+ idiomas.

• Operador tracked como UNKK (una letra de diferencia con UNKN, etiqueta del botnet Medusa histórico).

• Conexión probable con la banda detrás de Medusa banking trojan: misma convención de nombres, mismo Telegram dead-drop, mismas geografías (Italia y Francia como objetivos principales). El reporte de Cleafy 2024 sobre Medusa UNKN es la referencia.

• La infraestructura fue construida con asistencia de IA: en la documentación expuesta del C2, los endpoints de phishing se describen como si fueran “quiz answers” y el control remoto como “parental monitoring”. En una overlay real se encontró, verbatim, la respuesta de un asistente de IA pegada al final del HTML — incluyendo notas de implementación y un cierre tipo “¿quieres que ajuste algo más?”.

Por qué importa hoy si eres sysadmin

A primera vista, RemControl es un troyano que apunta a usuarios finales bancarios, no a servidores. El error es pensarlo así. El vector de entrada es un APK malicioso disfrazado de la app TVTap (un IPTV que NO está en Google Play, lo que obliga a buscarlo fuera de la tienda), y el método de infección sigue siendo la recomendación clásica de un troyano: abusar del servicio de Accessibility. Lo que cambió en esta generación de malware es lo que pasa después de la infección:

Capacidad	Lo que hace
Inyección de overlay	Detecta qué app está en foreground, despliega un WebView pantalla-completa encima del banco
Streaming de UI tree	Captura el árbol de accesibilidad completo de Android en tiempo real vía AccessibilityService
Screenshot por evento	Toma screenshots codificados como WEBP sobre WebSocket, ajustables en frame rate
Inyección de input	Ejecuta taps, swipes, scroll, long press, gestos y texto desde el C2
Captura de pattern lock	Reconoce el grid en 10 implementaciones OEM (AOSP, Xiaomi, Huawei, OPPO, Samsung, OnePlus) y transmite las coordenadas
Auto-defensa	Si abres Settings → Apps o factory reset, dispara back para ocultarse

Para un sysadmin, el problema no es perder un banco. El problema es cuando un dispositivo corporativo BYOD — el teléfono personal de tu desarrollador que tiene acceso VPN al repositorio, o la tablet del depósito que ejecuta el WMS — se infecta. En esa configuración RemControl ve todo lo que pasa en el dispositivo: tokens de sesión corporativos, correos con códigos MFA, cualquier 2FA push que llegue. La práctica de “traer tu propio dispositivo al trabajo” hereda toda la superficie de ataque del malware móvil.

Cadena de infección: paso a paso

Vale la pena mirar cada paso porque la ingeniería es cuidada, no improvisada.

Distribución

RemControl se entrega desde páginas falsas de Google Play que se hacen pasar por la app TVTap (un reproductor IPTV gratuito que no está en Google Play oficial). Esto es importante: la app legítima no está en Play Store, así que los usuarios están habituados a buscarla en sitios externos. Eso normaliza el flujo “bajátelo de esta página web” y la falsificación pasa desapercibida.

Las páginas falsas embeben dos Meta Pixel IDs (997470916598588 y 1909605966397328), lo que confirma que el operador está corriendo campañas de malvertising pagadas a través de Meta. Es la misma lección que ToxicPanda: cuando el malware puede comprar tráfico legítimo vía ads, el filtro heurístico por IP/reputación del dominio se rompe.

Seis URLs de distribución observadas, todas localizadas en italiano con geofencing por IP y User-Agent check que solo sirven el APK si:

• El User-Agent es móvil (Android).

• La IP es italiana (en la campaña italiana observada).

Recurso	Valor
Dominios distribución	tvtap-hd[.]app, vpn[.]doneplay[.]site, ff-de[.]shutgpt[.]ir, vpn[.]askarzadeh[.]com, cdn[.]dlmafi[.]top, 216[.]126[.]229[.]216
Download final	tvtap-liveapp[.]com/dl.php
Telegram dead-drops	t.me/ftestera, t.me/+Psyt04xu-cRjMTg0
C2 inicial	bnbnhura[.]top (detrás de Cloudflare)
Affiliate tag hardcoded	UNKK
Campaign tags	IT-NEW, IT-NEW4, FR-NEW, FR-NEW4, pt-v3, ARABIC2, ARABIC3

Dropper

Una vez que la víctima toca “instalar”, el APK hace tres cosas en secuencia:

1. Solicita BIND_VPN_SERVICE y arranca un servicio VPN local que enruta todo el tráfico del paquete com.android.vending (Google Play Store) por un túnel null. Esto corta la red a Play Protect durante la instalación — Play Protect no puede escanear en tiempo real contra su base de malware conocido.

2. Genera un certificado de firma único en Android Keystore y firma el payload antes de instalarlo. Subject siempre CN=Android Debug, O=Android, C=US (genérico, no llama atención), pero cada instalación produce un cert distinto. Esto anula detección por hash y por certificate pinning.

3. Usa PackageInstaller.SessionParams para instalar y lanzar el payload con sesión API, evadiendo el broadcast normal de instalaciones que algunos EDRs móviles monitorizan.

Después de la instalación, el payload pide permiso de Accessibility Service. Si se lo concedés — y esa es la parte crítica — RemControl tiene control total del dispositivo.

Overlay dinámico

Una vez con Accessibility, el malware se conecta al C2 vía WebSocket. En el primer handshake, manda un frame reg con OS, brand, modelo, dimensiones de pantalla, carrier, nivel de batería, país, idioma y los hardcoded tags AFF=UNKK + TAG=IT-NEW4 (o el que corresponda). El servidor responde con un device ID persistente y provisioning inmediato: pide la lista de apps instaladas y empuja un start_overlay por cada target banking que matchee.

Las overlays en sí son HTML dinámico cargado vía WebView desde /overlay/{result_id} — nada de phishing local, todo en el C2. Cuando la víctima abre el banco real, el match contra el target list del C2 activa la overlay full-screen. Cuando la víctima “loguea” en la pantalla falsa, los datos viajan vía POST al mismo endpoint, y el C2 responde con un Android.close() que cierra el WebView. Para la víctima, la app bancaria simplemente “re-aparece” como si nada hubiera pasado.

C2 con rotación dinámica

Lo más interesante para blue team: el C2 no está hardcoded en el APK. RemControl resuelve la dirección real al iniciar, vía un canal de Telegram:

1. El malware hace fetch a uno de dos canales públicos hardcoded (round-robin).

2. Busca una cadena marcada (en los samples analizados: numeraZZZas) que aparece dos veces.

3. Extrae el contenido entre las dos ocurrencias, decodifica Base64-URL, descifra con AES-128-CBC.

4. La clave y el IV se derivan del SHA-256 del propio marker string — 16 bytes clave, 16 bytes IV.

Resultado: el operador puede cambiar el C2 actualizando el canal de Telegram, sin recompilar el APK. Cualquier medida defensiva basada en bloquear el dominio/IP se vuelve obsoleta en minutos.

La huella de IA en la infraestructura

Este es el detalle que va a importar más allá de 2026, y por eso lo desarrollo aparte.

Group-IB encontró la documentación del API del C2 expuesta públicamente porque el operador subió el backend sin esconder los endpoints /docs de FastAPI. Lo que se vio en esa documentación es genuinamente extraño: los endpoints de phishing están descritos como si sirvieran “quiz answers”, y el control remoto como “parental monitoring”. El operador engañó al asistente de IA que usó para desarrollar la infraestructura, diciéndole que estaba construyendo una app de control parental con quizzes. La IA generó todo sin saber qué era realmente.

En una de las overlays reales servidas a víctimas, al final del HTML, está pegada verbatim la respuesta completa del asistente de IA — notas de implementación, resumen de cambios, y un cierre de “¿quieres que ajuste algo más?”. El efecto operativo es doble:

• Para los analistas: cada muestra de RemControl es una postal forense del uso criminal de IA. Identifica qué modelo, qué prompts, qué sesiones.

• Para los LLM vendedores: la defensa vendor-side (filtros de uso, abuse monitoring, watermarks de output) tiene que evolucionar. Si el operador pudo saltarse esos controles disfrazando el proyecto, otros van a poder también.

El paper privado de Group-IB (accesible vía su Threat Intelligence portal, no público) lista el catálogo completo de ~70 endpoints REST del panel operador: gestión de bots, editor de overlay, visor de credenciales, sistema de macros, VNC session recorder con replay frame-by-frame, y un build system que genera APKs nuevos por afiliado con app_name, accessibility_label y package_name configurables.

Atribución: quién está detrás

El nivel de atribución que se puede hacer en abierto es limitado pero útil:

• Idioma: comentarios en ruso en algunos HTMLs de las overlays sugieren que el autor de las overlays es rusohablante.

• Photoshop metadata en imágenes embebidas: timezone UTC+8, Adobe Photoshop en Windows, fechas de creación de abril de 2026 (~3 meses antes de la primera muestra). Eso apunta a un developer en Asia, posiblemente China o Hong Kong.

• UNKK como afiliado: si esto es un MaaS, el operador que opera esta campaña es un afiliado, no necesariamente el autor del toolkit. El reporte de Cleafy 2024 sobre Medusa mostró que el botnet UNKN compartió infraestructura con varias operaciones, lo que sugiere que UNKK/UNKN puede ser una marca paraguas multi-actor.

• Conexión Medusa: la diferencia de una letra entre UNKN y UNKK puede ser branding copy-paste entre operaciones distintas, o puede ser una escisión del mismo grupo. No hay evidencia conclusiva en el reporte.

Cómo te afecta como sysadmin / homelab

Si tus usuarios son Android-BYOD

No puedes confiar en Play Protect. RemControl desactiva Play Protect durante la instalación con la misma técnica que ToxicPanda. La defensa útil es a nivel de política:

• Forzá MDM con app allowlist. Solo permitir las apps necesarias para el trabajo.

• Bloqueá la instalación desde fuentes desconocidas por política. En Android Enterprise esto es install_unknown_sources configurable.

• Denegá explícitamente el permiso de Accessibility Service a apps que no lo necesitan. Muy pocas apps legítimas lo piden —sólo lectores de pantalla, controles parentales autorizados, y herramientas de automatización como Tasker.

Si tienes un endpoint que recibe transacciones (POS, kiosko, tablet inventario)

Los dispositivos Android en contexto empresarial son el eslabón débil. Aplicá lo siguiente:

• Pinning de apps: la tablet del depósito solo corre la app de inventario, no un launcher genérico. usa Android Enterprise en modo kiosk.

• Restricciones de red: si la tablet no necesita Internet abierto, dejala solo con VPN al servidor interno. Un dropper TVTap necesita acceso a Telegram y al C2 — bloquearles esos dominios te anula la infección.

• Monitorizá tráfico anómalo desde dispositivos Android. Si una tablet empieza a generar tráfico WebSocket persistente hacia IPs/cloudflare-rotating durante horario de inventario, algo está mal.

Si te importa el patrón, no este troyano específico

RemControl no es el último. La tendencia es clara:

1. Asistencia de IA para construir infraestructura, escondida detrás de cover stories benignos. espera ver más.

2. Telegram dead-drops como mecanismo de rotación de C2 en malware móvil. El IP-based blocking se va a quedar corto.

3. VPN local para tapar Play Protect se está convirtiendo en default en los droppers nuevos. Esperalo en las próximas muestras.

4. Affiliate tags en el código como medio de operación. UNKK es solo uno; va a haber más con distinto tag.

Defensa práctica: lo que sí puedes hacer hoy

El reporte de Group-IB recomienda a usuarios finales no instalar APKs fuera de Google Play, pero esa recomendación es insuficiente dado que el dropper bloquea Play Protect. La defensa práctica tiene que ser a nivel de política corporativa, no de consejos al usuario.

Para un sysadmin Linux que mantiene endpoints mixtos (servidores Linux + flota Android):

• DNS sinkhole en la red corporativa para los IOCs listados al final. Pi-hole o equivalente bloqueando tvtap-hd.app, tvtap-liveapp.com, bnbnhura.top y todos los Telegram dead-drops.

• Network detection: tráfico WebSocket persistente desde dispositivos Android hacia dominios Cloudflare-rotating es anómalo y detectable.

• Capability policy en Android Enterprise: forzar PERMISSION_POLICY_AUTO_DENY para BIND_ACCESSIBILITY_SERVICE en apps que no estén en la allowlist de tu organización.

• MDM telemetry: si tu EMM reporta devices con Accessibility Service activo fuera de las apps autorizadas, es señal de compromiso.

• Educación: comunicá a empleados que cualquier app que pida Accessibility Service “porque quiere ayudarte” está mintiendo. No hay apps legítimas que pidan eso fuera de lectores de pantalla.

Resumen

RemControl es la última iteración de un patrón conocido — banking trojan MaaS con C2 dinámico — pero con dos particularidades que justifican seguirle el rastro

1. Su infraestructura fue construida con asistencia de IA, engañada con un cover story de parental monitoring, y eso dejó rastro forense en cada entrega.

2. El patrón técnico (dropper TVTap → VPN-suppress Play Protect → Accessibility RAT → WebSocket C2 con Telegram dead-drop) está listo para copy-paste contra bancos LATAM. Todavía no se observó, pero el dropper ya soporta 30+ idiomas.

Si gestionas Android-BYOD o dispositivos corporativos, no esperes a que llegue la versión que apunte a tu banco. configura las defensas hoy, no mañana.

IOCs para tu sinkhole

Indicador	Tipo
tvtap-hd[.]app	Distribución
vpn[.]doneplay[.]site	Distribución
ff-de[.]shutgpt[.]ir	Distribución
vpn[.]askarzadeh[.]com	Distribución
cdn[.]dlmafi[.]top	Distribución
216[.]126[.]229[.]216	Distribución
tvtap-liveapp[.]com	Distribución
bnbnhura[.]top	C2 domain
definatelynoone[.]com	Panel operador
157[.]90[.]179[.]116	Panel operador IP
t.me/ftestera	Telegram dead-drop
t.me/+Psyt04xu-cRjMTg0	Telegram dead-drop
Meta Pixel IDs 997470916598588, 1909605966397328	Tracking malvertising

Preguntas frecuentes

Lee también

• Guía Fedora 44: Novedades, Instalación y Upgrade para Sysadmins Linux
• Configura VLANs en Linux con nmcli: Guía paso a paso para sysadmins
• Protege tu SSH: Guía esencial para configurar Fail2ban en Linux
• Guía Definitiva: Configura Kubernetes con kubeadm en Ubuntu para Sysadmins Linux
• Configura Prometheus y Grafana: Guía DevOps para SysAdmins Linux