Comment se débarrasser du cheval de Troie bancaire Android RemControl

Quel type de malware est RemControl ?

RemControl est un trojan bancaire Android et un trojan d'accès à distance (RAT) qui cible les clients des banques de détail en Europe occidentale, au Moyen-Orient et au Canada. Il fonctionne comme une plateforme de Malware-as-a-Service (MaaS). Selon les recherches publiées par Group-IB, le malware a été identifié pour la première fois en juillet 2026, son infrastructure étant active depuis mai 2026.

Aperçu du trojan bancaire RemControl

RemControl est distribué par le biais de fausses pages du Google Play Store qui usurpent l'identité de TVTap, une application IPTV populaire permettant de regarder des chaînes de télévision en direct. Ces fausses pages affichent une note de 4,9 étoiles et plus de 5 millions de téléchargements pour paraître dignes de confiance, et les victimes y sont attirées par du malvertising diffusé sur la plateforme publicitaire de Meta.

À son ouverture, le dropper affiche un faux écran « Update TVTap » et demande l'autorisation de configurer une connexion VPN. Ce VPN n'est pas là pour protéger la victime - il coupe l'accès à Internet du Google Play Store, de sorte que Google Play Protect ne peut pas analyser le malware pendant son installation.

Chaque copie installée est également signée différemment, ce qui la rend plus difficile à reconnaître pour les outils de sécurité. Une fois installée, la charge utile prétend que TVTap n'est pas actif et guide la victime pour activer l'Accessibilité dans les paramètres, ce qui donne au malware le contrôle total de l'appareil.

À partir de ce moment, RemControl surveille quelle application est ouverte. Lorsque la victime lance l'une des plus de 30 applications bancaires ciblées, il la recouvre d'un faux écran de connexion demandant des informations telles qu'un numéro client, un code PIN ou un code de sécurité. Une fois les informations soumises, le faux écran se ferme et la véritable application réapparaît.

L'opérateur peut également regarder l'écran de l'appareil en direct et le contrôler à distance - en appuyant, en balayant et en saisissant du texte comme s'il tenait le téléphone. RemControl peut enregistrer les frappes au clavier (keylogging), capturer le schéma de déverrouillage de l'écran et lire le contenu du presse-papiers, ce qui peut exposer des mots de passe ou des codes copiés.

La capture du schéma de déverrouillage fonctionne sur les écrans de verrouillage de nombreux fabricants de téléphones populaires, notamment Samsung, Xiaomi, Huawei, OPPO et OnePlus, ainsi que sur Android standard.

Pour rendre sa suppression plus difficile, le malware bloque l'accès aux écrans de paramètres utilisés pour désinstaller des applications, gérer l'Accessibilité ou effectuer une réinitialisation d'usine en les quittant instantanément. Il trouve également l'adresse de son serveur grâce à une boîte aux lettres morte sur Telegram, ce qui permet aux attaquants de changer de serveur sans mettre à jour le malware.

Group-IB a découvert que RemControl est loué à d'autres cybercriminels en tant que service, avec un panneau permettant de créer de nouvelles versions, de gérer les appareils infectés et de modifier les faux écrans de connexion. Fait notable, certaines de ses parties ont été conçues avec l'aide de l'IA - une page de phishing active contenait même une réponse résiduelle d'un chatbot IA sous son formulaire de connexion.

En résumé, la présence de RemControl sur un appareil peut entraîner de graves atteintes à la vie privée, des pertes financières, des transactions bancaires non autorisées et un vol d'identité. Les développeurs de malwares améliorent souvent leurs logiciels, de sorte que les futures versions de RemControl pourraient avoir des fonctionnalités supplémentaires ou différentes.

Exemples de trojans bancaires Android

RemControl rejoint une liste croissante de trojans bancaires Android qui abusent du service d'Accessibilité pour voler des identifiants bancaires au moyen de superpositions de phishing, intercepter les codes à usage unique envoyés par SMS et donner aux opérateurs un contrôle à distance en temps réel sur les appareils infectés. D'autres exemples de trojans bancaires Android similaires incluent Rokarolla, OverlayPhantom et PhantomCard/NFCShare.

Quel que soit le comportement exact d'un malware donné, le résultat final est le même : il représente une menace sérieuse pour l'appareil et son propriétaire. Adopter de bonnes habitudes et utiliser un logiciel de sécurité réputé sont les moyens les plus efficaces de rester protégé.

Comment RemControl s'est-il infiltré dans mon appareil ?

RemControl est distribué par le biais de fausses pages du Google Play Store usurpant l'identité de l'application IPTV TVTap. Comme TVTap n'est pas disponible sur la boutique officielle, les utilisateurs ont déjà l'habitude de le télécharger depuis des sources non officielles, ce qui en fait un appât idéal.

Group-IB a confirmé que l'opérateur utilise des campagnes de malvertising sur la plateforme publicitaire de Meta pour diriger le trafic des victimes vers ces fausses pages. Les pages vérifient le type de navigateur et la géolocalisation du visiteur avant de servir l'APK malveillant, ne ciblant que les utilisateurs mobiles de pays spécifiques.

En général, les malwares Android sont également couramment propagés par le biais de boutiques d'applications tierces, de pages de phishing imitant des banques ou des fournisseurs de services, de liens malveillants partagés via les réseaux sociaux ou les applications de messagerie, et de fausses invites de mise à jour logicielle.

Comment éviter l'installation de malwares ?

Téléchargez des applications uniquement à partir de sources officielles telles que le Google Play Store ou le site web officiel du développeur. Méfiez-vous particulièrement de tout site ou de toute publicité vous incitant à télécharger une application en dehors de la boutique officielle.

Avant d'installer une application, examinez ses autorisations. Soyez particulièrement méfiant à l'égard des applications qui demandent l'accès au service d'Accessibilité, car cette autorisation est rarement nécessaire aux applications légitimes et donne à une application un contrôle quasi total sur l'appareil.

Maintenez à jour le système d'exploitation de votre appareil et toutes les applications installées. Utilisez un logiciel de sécurité mobile réputé et soyez prudent avec les liens reçus par e-mail, SMS ou via les réseaux sociaux, car ce sont des canaux de diffusion courants pour les malwares mobiles.

Fausse page du Google Play Store usurpant l'identité de TVTap, utilisée pour distribuer RemControl (en italien, source : Group-IB) :

Dropper de RemControl affichant un faux écran de mise à jour de TVTap (source : Group-IB) :

RemControl demandant l'accès au service d'Accessibilité (contrôle total de l'appareil, source : Group-IB) :

Exemples de superpositions de phishing affichées par RemControl par-dessus des applications bancaires :

Capture d'écran d'une superposition d'authentification en une étape (source : Group-IB) :

Capture d'écran d'une superposition d'authentification en deux étapes (source : Group-IB) :

Menu rapide :

• Introduction
• Comment supprimer l'historique de navigation du navigateur web Chrome ?
• Comment désactiver les notifications du navigateur web Chrome ?
• Comment réinitialiser le navigateur web Chrome ?
• Comment supprimer l'historique de navigation du navigateur web Firefox ?
• Comment désactiver les notifications du navigateur web Firefox ?
• Comment réinitialiser le navigateur web Firefox ?
• Comment désinstaller les applications potentiellement indésirables et/ou malveillantes ?
• Comment démarrer l'appareil Android en « Mode sans échec » ?
• Comment vérifier la consommation de batterie des différentes applications ?
• Comment vérifier la consommation de données des différentes applications ?
• Comment installer les dernières mises à jour logicielles ?
• Comment réinitialiser le système à son état par défaut ?
• Comment désactiver les applications disposant de privilèges d'administrateur ?

Supprimer l'historique de navigation du navigateur web Chrome :

Appuyez sur le bouton « Menu » (trois points dans le coin supérieur droit de l'écran) et sélectionnez « Historique » dans le menu déroulant qui s'ouvre.

Appuyez sur « Effacer les données de navigation », sélectionnez l'onglet « PARAMÈTRES AVANCÉS », choisissez la période et les types de données que vous souhaitez supprimer, puis appuyez sur « Effacer les données ».

[Retour à la Table des Matières]

Désactiver les notifications du navigateur web Chrome :

Appuyez sur le bouton « Menu » (trois points dans le coin supérieur droit de l'écran) et sélectionnez « Paramètres » dans le menu déroulant qui s'ouvre.

Faites défiler vers le bas jusqu'à l'option « Paramètres des sites » et appuyez dessus. Faites défiler vers le bas jusqu'à l'option « Notifications » et appuyez dessus.

Recherchez les sites web qui envoient des notifications, appuyez dessus et cliquez sur « Effacer et réinitialiser ». Cela supprimera les autorisations accordées à ces sites web pour envoyer des notifications. Cependant, lorsque vous visiterez à nouveau le même site, il pourra vous redemander l'autorisation. Vous pouvez choisir d'accorder ou non ces autorisations (si vous refusez, le site web sera placé dans la section « Bloqué » et ne vous demandera plus l'autorisation).

[Retour à la Table des Matières]

Réinitialiser le navigateur web Chrome :

Allez dans « Paramètres », faites défiler vers le bas jusqu'à « Applications » et appuyez dessus.

Faites défiler vers le bas jusqu'à l'application « Chrome », sélectionnez-la et appuyez sur l'option « Stockage ».

Appuyez sur « GÉRER L'ESPACE », puis sur « EFFACER TOUTES LES DONNÉES » et confirmez l'action en appuyant sur « OK ». Notez que la réinitialisation du navigateur supprimera toutes les données qui y sont stockées. Cela signifie que tous les identifiants/mots de passe enregistrés, l'historique de navigation, les paramètres non définis par défaut et les autres données seront supprimés. Vous devrez également vous reconnecter à tous les sites web.

[Retour à la Table des Matières]

Supprimer l'historique de navigation du navigateur web Firefox :

Appuyez sur le bouton « Menu » (trois points dans le coin supérieur droit de l'écran) et sélectionnez « Historique » dans le menu déroulant qui s'ouvre.

Faites défiler vers le bas jusqu'à « Effacer les données privées » et appuyez dessus. Sélectionnez les types de données que vous souhaitez supprimer et appuyez sur « EFFACER LES DONNÉES ».

[Retour à la Table des Matières]

Désactiver les notifications du navigateur web Firefox :

Visitez le site web qui envoie des notifications, appuyez sur l'icône affichée à gauche de la barre d'adresse (l'icône ne sera pas nécessairement un « Verrou ») et sélectionnez « Modifier les paramètres du site ».

Dans la fenêtre contextuelle qui s'ouvre, cochez l'option « Notifications » et appuyez sur « EFFACER ».

[Retour à la Table des Matières]

Réinitialiser le navigateur web Firefox :

Allez dans « Paramètres », faites défiler vers le bas jusqu'à « Applications » et appuyez dessus.

Faites défiler vers le bas jusqu'à l'application « Firefox », sélectionnez-la et appuyez sur l'option « Stockage ».

Appuyez sur « EFFACER LES DONNÉES » et confirmez l'action en appuyant sur « SUPPRIMER ». Notez que la réinitialisation du navigateur supprimera toutes les données qui y sont stockées. Cela signifie que tous les identifiants/mots de passe enregistrés, l'historique de navigation, les paramètres non définis par défaut et les autres données seront supprimés. Vous devrez également vous reconnecter à tous les sites web.

[Retour à la Table des Matières]

Désinstaller les applications potentiellement indésirables et/ou malveillantes :

Allez dans « Paramètres », faites défiler vers le bas jusqu'à « Applications » et appuyez dessus.

Faites défiler vers le bas jusqu'à trouver une application potentiellement indésirable et/ou malveillante, sélectionnez-la et appuyez sur « Désinstaller ». Si, pour une raison quelconque, vous ne parvenez pas à supprimer l'application sélectionnée (par exemple, un message d'erreur s'affiche), essayez d'utiliser le « Mode sans échec ».

[Retour à la Table des Matières]

Démarrer l'appareil Android en « Mode sans échec » :

Le « Mode sans échec » du système d'exploitation Android empêche temporairement l'exécution de toutes les applications tierces. L'utilisation de ce mode est un bon moyen de diagnostiquer et de résoudre divers problèmes (par exemple, supprimer des applications malveillantes qui empêchent les utilisateurs de le faire lorsque l'appareil fonctionne « normalement »).

Appuyez sur le bouton « Marche/Arrêt » et maintenez-le enfoncé jusqu'à ce que l'écran « Éteindre » apparaisse. Appuyez sur l'icône « Éteindre » et maintenez-la enfoncée. Après quelques secondes, l'option « Mode sans échec » apparaîtra et vous pourrez l'activer en redémarrant l'appareil.

[Retour à la Table des Matières]

Vérifier la consommation de batterie des différentes applications :

Allez dans « Paramètres », faites défiler vers le bas jusqu'à « Maintenance de l'appareil » et appuyez dessus.

Appuyez sur « Batterie » et vérifiez la consommation de chaque application. Les applications légitimes/authentiques sont conçues pour consommer le moins d'énergie possible afin d'offrir la meilleure expérience utilisateur et d'économiser la batterie. Par conséquent, une consommation de batterie élevée peut indiquer que l'application est malveillante.

[Retour à la Table des Matières]

Vérifier la consommation de données des différentes applications :

Allez dans « Paramètres », faites défiler vers le bas jusqu'à « Connexions » et appuyez dessus.

Faites défiler vers le bas jusqu'à « Utilisation des données » et sélectionnez cette option. Comme pour la batterie, les applications légitimes/authentiques sont conçues pour réduire au maximum la consommation de données. Cela signifie qu'une consommation de données très élevée peut indiquer la présence d'une application malveillante. Notez que certaines applications malveillantes peuvent être conçues pour fonctionner uniquement lorsque l'appareil est connecté à un réseau sans fil. Pour cette raison, vous devez vérifier la consommation de données mobiles et Wi-Fi.

Si vous trouvez une application qui consomme beaucoup de données alors que vous ne l'utilisez jamais, nous vous conseillons vivement de la désinstaller dès que possible.

[Retour à la Table des Matières]

Installer les dernières mises à jour logicielles :

Maintenir les logiciels à jour est une bonne pratique en matière de sécurité des appareils. Les fabricants d'appareils publient continuellement divers correctifs de sécurité et mises à jour Android afin de corriger les erreurs et les bugs qui peuvent être exploités par les cybercriminels. Un système obsolète est beaucoup plus vulnérable, c'est pourquoi vous devez toujours vous assurer que le logiciel de votre appareil est à jour.

Allez dans « Paramètres », faites défiler vers le bas jusqu'à « Mise à jour logicielle » et appuyez dessus.

Appuyez sur « Télécharger les mises à jour manuellement » et vérifiez si des mises à jour sont disponibles. Si c'est le cas, installez-les immédiatement. Nous vous recommandons également d'activer l'option « Télécharger les mises à jour automatiquement » - elle permettra au système de vous avertir dès qu'une mise à jour est publiée et/ou de l'installer automatiquement.

[Retour à la Table des Matières]

Réinitialiser le système à son état par défaut :

Effectuer une « Réinitialisation d'usine » est un bon moyen de supprimer toutes les applications indésirables, de restaurer les paramètres par défaut du système et de nettoyer l'appareil en général. Cependant, vous devez garder à l'esprit que toutes les données de l'appareil seront supprimées, y compris les photos, les fichiers vidéo/audio, les numéros de téléphone (stockés dans l'appareil, et non sur la carte SIM), les SMS, etc. En d'autres termes, l'appareil sera restauré à son état d'origine.

Vous pouvez également restaurer les paramètres de base du système et/ou simplement les paramètres réseau.

Allez dans « Paramètres », faites défiler vers le bas jusqu'à « À propos du téléphone » et appuyez dessus.

Faites défiler vers le bas jusqu'à « Réinitialiser » et appuyez dessus. Choisissez maintenant l'action que vous souhaitez effectuer :
« Réinitialiser les paramètres » - restaurer tous les paramètres du système par défaut ;
« Réinitialiser les paramètres réseau » - restaurer tous les paramètres liés au réseau par défaut ;
« Réinitialisation des données d'usine » - réinitialiser l'ensemble du système et supprimer complètement toutes les données stockées ;

[Retour à la Table des Matières]

Désactiver les applications disposant de privilèges d'administrateur :

Si une application malveillante obtient des privilèges de niveau administrateur, elle peut gravement endommager le système. Pour que l'appareil reste aussi sûr que possible, vous devez toujours vérifier quelles applications disposent de tels privilèges et désactiver celles qui ne devraient pas en avoir.

Allez dans « Paramètres », faites défiler vers le bas jusqu'à « Écran de verrouillage et sécurité » et appuyez dessus.

Faites défiler vers le bas jusqu'à « Autres paramètres de sécurité », appuyez dessus, puis appuyez sur « Applications d'administration de l'appareil ».

Identifiez les applications qui ne devraient pas disposer de privilèges d'administrateur, appuyez dessus, puis appuyez sur « DÉSACTIVER ».

Foire aux questions (FAQ)

Mon appareil Android est infecté par le malware RemControl, dois-je formater mon périphérique de stockage pour m'en débarrasser ?

Le formatage n'est généralement pas nécessaire pour supprimer RemControl. L'exécution d'un logiciel de sécurité mobile réputé tel que Combo Cleaner devrait suffire à détecter et à éliminer le malware de votre appareil.

Quels sont les plus gros problèmes que le malware RemControl peut causer ?

RemControl peut superposer de faux écrans de connexion bancaire par-dessus vos applications bancaires légitimes, afin de voler vos codes PIN, vos codes de banque mobile et les informations de votre carte.

Il diffuse également votre écran en temps réel à l'opérateur, enregistre chaque appui et chaque frappe au clavier, capture le schéma de déverrouillage de votre appareil et vous empêche d'ouvrir les paramètres ou de réinitialiser le téléphone aux paramètres d'usine. Cela peut entraîner des transactions bancaires non autorisées, une perte totale d'accès aux comptes et un vol d'identité.

Quel est l'objectif du malware RemControl ?

RemControl est principalement conçu pour la fraude bancaire. Son opérateur l'utilise pour voler des identifiants bancaires et prendre le contrôle à distance des appareils infectés afin d'effectuer des transactions non autorisées. Cela dit, les cybercriminels peuvent aussi être motivés, dans certains cas, par des rancunes personnelles, l'hacktivisme ou des intérêts géopolitiques.

Comment le malware RemControl s'est-il infiltré dans mon appareil Android ?

RemControl est distribué par le biais de fausses pages du Google Play Store usurpant l'identité de l'application IPTV TVTap, promues via des campagnes de malvertising sur la plateforme de Meta.

Les malwares Android sont également couramment propagés par le biais de boutiques d'applications tierces, de liens de phishing partagés par SMS ou sur les réseaux sociaux, et de fausses invites de mise à jour logicielle. Téléchargez toujours les applications exclusivement depuis le Google Play Store officiel.

Combo Cleaner me protégera-t-il contre les malwares ?

Combo Cleaner est capable de détecter et d'éliminer presque toutes les infections de malwares connues. N'oubliez pas qu'il est essentiel d'effectuer une analyse complète du système, car les menaces sophistiquées comme RemControl s'implantent généralement profondément dans le système pour éviter d'être facilement supprimées.