Como se livrar do trojan bancário RemControl para Android

Que tipo de malware é o RemControl?

O RemControl é um trojan bancário para Android e um trojan de acesso remoto (RAT) que tem como alvo clientes de banca de retalho na Europa Ocidental, no Médio Oriente e no Canadá. Funciona como uma plataforma de malware como serviço (MaaS). De acordo com uma investigação publicada pelo Group-IB, o malware foi identificado pela primeira vez em julho de 2026, estando a sua infraestrutura ativa desde maio de 2026.

Visão geral do trojan bancário RemControl

O RemControl é distribuído através de páginas falsas da Google Play Store que se fazem passar pela TVTap, uma aplicação IPTV popular para ver canais de televisão em direto. As páginas falsas apresentam uma classificação de 4,9 estrelas e mais de 5 milhões de transferências para parecerem fidedignas, e as vítimas são atraídas para lá através de malvertising na plataforma de publicidade da Meta.

Quando aberto, o dropper apresenta um ecrã falso de "Update TVTap" e pede permissão para configurar uma ligação VPN. Esta VPN não existe para proteger a vítima - corta o acesso da Google Play Store à internet, para que o Google Play Protect não consiga analisar o malware durante a instalação.

Cada cópia instalada é também assinada de forma diferente, o que dificulta o seu reconhecimento por ferramentas de segurança. Depois de instalado, o payload alega que a TVTap não está ativa e orienta a vítima a ativar a Acessibilidade nas definições, o que concede ao malware controlo total do dispositivo.

A partir desse momento, o RemControl monitoriza qual a aplicação que está aberta. Quando a vítima abre uma das mais de 30 aplicações bancárias visadas, o malware cobre-a com um ecrã de início de sessão falso que solicita dados como o número de cliente, o PIN ou um código de segurança. Após a submissão dos dados, o ecrã falso fecha-se e a aplicação verdadeira volta a aparecer.

O operador pode também ver o ecrã do dispositivo em tempo real e controlá-lo remotamente - tocando, deslizando e escrevendo como se estivesse a segurar o telemóvel. O RemControl pode registar as teclas premidas (keylogging), capturar o padrão de desbloqueio do ecrã e ler o conteúdo da área de transferência, o que pode expor palavras-passe ou códigos copiados.

A captura do padrão de desbloqueio funciona nos ecrãs de bloqueio de muitos fabricantes de telemóveis populares, incluindo Samsung, Xiaomi, Huawei, OPPO e OnePlus, bem como no Android padrão.

Para dificultar a remoção, o malware bloqueia o acesso aos ecrãs de definições utilizados para desinstalar aplicações, gerir a Acessibilidade ou efetuar uma reposição de fábrica, saindo deles instantaneamente. Também obtém o endereço do seu servidor através de um dead-drop no Telegram, permitindo aos atacantes mudar de servidor sem atualizar o malware.

A Group-IB descobriu que o RemControl é alugado a outros cibercriminosos como serviço, com um painel para criar novas versões, gerir dispositivos infetados e editar ecrãs de início de sessão falsos. Notavelmente, partes do malware foram criadas com recurso a IA - uma página de phishing ativa continha até uma resposta residual de um chatbot de IA por baixo do formulário de início de sessão.

Em resumo, a presença do RemControl num dispositivo pode levar a graves violações de privacidade, perdas financeiras, transações bancárias não autorizadas e roubo de identidade. Os desenvolvedores de malware melhoram frequentemente o seu software, pelo que versões futuras do RemControl poderão ter funcionalidades adicionais ou diferentes.

Exemplos de trojans bancários para Android

O RemControl junta-se a uma lista crescente de trojans bancários para Android que abusam do Serviço de Acessibilidade para roubar credenciais bancárias através de sobreposições de phishing, intercetar códigos de utilização única enviados por SMS e dar aos operadores controlo remoto em tempo real sobre os dispositivos infetados. Outros exemplos de trojans bancários semelhantes para Android incluem Rokarolla, OverlayPhantom e PhantomCard/NFCShare.

Independentemente da forma exata como um determinado malware se comporta, o resultado final é o mesmo: trata-se de uma ameaça grave para o dispositivo e para o seu proprietário. Adotar hábitos seguros e utilizar software de segurança fiável são as formas mais eficazes de se manter protegido.

Como é que o RemControl se infiltrou no meu dispositivo?

O RemControl é distribuído através de páginas falsas da Google Play Store que se fazem passar pela aplicação IPTV TVTap. Como a TVTap não está disponível na loja oficial, os utilizadores já estão habituados a transferi-la de fontes não oficiais, o que a torna um isco ideal.

A Group-IB confirmou que o operador utiliza campanhas de malvertising na plataforma de publicidade da Meta para direcionar o tráfego de vítimas para estas páginas falsas. As páginas verificam o tipo de navegador e a geolocalização do visitante antes de fornecer o APK malicioso, visando apenas utilizadores móveis de determinados países.

Em geral, o malware para Android também é frequentemente propagado através de lojas de aplicações de terceiros, páginas de phishing que imitam bancos ou prestadores de serviços, links maliciosos partilhados através de redes sociais ou aplicações de mensagens e falsos pedidos de atualização de software.

Como evitar a instalação de malware?

Transfira aplicações apenas de fontes oficiais, como a Google Play Store ou o site oficial do desenvolvedor. Desconfie especialmente de qualquer site ou anúncio que o encaminhe para transferir uma aplicação fora da loja oficial.

Antes de instalar qualquer aplicação, reveja as suas permissões. Desconfie particularmente de aplicações que solicitam acesso ao Serviço de Acessibilidade, uma vez que esta permissão raramente é necessária para aplicações legítimas e confere a uma aplicação um controlo quase total sobre o dispositivo.

Mantenha o sistema operativo do seu dispositivo e todas as aplicações instaladas atualizados. Utilize software de segurança móvel fiável e tenha cuidado com links recebidos por e-mail, SMS ou redes sociais, pois estes são canais comuns de distribuição de malware móvel.

Página falsa da Google Play Store que se faz passar pela TVTap, utilizada para distribuir o RemControl (em italiano, fonte: Group-IB):

Dropper do RemControl a apresentar um ecrã falso de atualização da TVTap (fonte: Group-IB):

RemControl a solicitar acesso ao Serviço de Acessibilidade (controlo total do dispositivo, fonte: Group-IB):

Exemplos de sobreposições de phishing apresentadas pelo RemControl sobre aplicações bancárias:

Captura de ecrã de uma sobreposição de autenticação de um passo (fonte: Group-IB):

Captura de ecrã de uma sobreposição de autenticação de dois passos (fonte: Group-IB):

Menu rápido:

• Introdução
• Como eliminar o histórico de navegação do navegador Chrome?
• Como desativar as notificações do navegador no Chrome?
• Como repor o navegador Chrome?
• Como eliminar o histórico de navegação do navegador Firefox?
• Como desativar as notificações do navegador no Firefox?
• Como repor o navegador Firefox?
• Como desinstalar aplicações potencialmente indesejadas e/ou maliciosas?
• Como iniciar o dispositivo Android em "Modo de segurança"?
• Como verificar o consumo de bateria de várias aplicações?
• Como verificar a utilização de dados de várias aplicações?
• Como instalar as atualizações de software mais recentes?
• Como repor o sistema para o seu estado predefinido?
• Como desativar aplicações que têm privilégios de administrador?

Eliminar o histórico de navegação do navegador Chrome:

Toque no botão "Menu" (três pontos no canto superior direito do ecrã) e selecione "Histórico" no menu pendente aberto.

Toque em "Limpar dados de navegação", selecione o separador "AVANÇADAS", escolha o intervalo de tempo e os tipos de dados que pretende eliminar e toque em "Limpar dados".

[Voltar ao menu]

Desativar as notificações do navegador no Chrome:

Toque no botão "Menu" (três pontos no canto superior direito do ecrã) e selecione "Definições" no menu pendente aberto.

Desloque-se para baixo até ver a opção "Definições de sites" e toque nela. Desloque-se para baixo até ver a opção "Notificações" e toque nela.

Encontre os sites que apresentam notificações do navegador, toque neles e clique em "Limpar e repor". Isto removerá as permissões concedidas a estes sites para apresentarem notificações. No entanto, quando visitar novamente o mesmo site, este poderá voltar a pedir permissão. Pode escolher se concede ou não estas permissões (se optar por recusar, o site irá para a secção "Bloqueado" e deixará de lhe pedir permissão).

[Voltar ao menu]

Repor o navegador Chrome:

Aceda a "Definições", desloque-se para baixo até ver "Aplicações" e toque nesta opção.

Desloque-se para baixo até encontrar a aplicação "Chrome", selecione-a e toque na opção "Armazenamento".

Toque em "GERIR ARMAZENAMENTO", depois em "LIMPAR TODOS OS DADOS" e confirme a ação tocando em "OK". Tenha em atenção que repor o navegador eliminará todos os dados nele armazenados. Isto significa que todas as credenciais de acesso/palavras-passe guardadas, o histórico de navegação, as definições não predefinidas e outros dados serão eliminados. Também terá de voltar a iniciar sessão em todos os sites.

[Voltar ao menu]

Eliminar o histórico de navegação do navegador Firefox:

Toque no botão "Menu" (três pontos no canto superior direito do ecrã) e selecione "Histórico" no menu pendente aberto.

Desloque-se para baixo até ver "Limpar dados privados" e toque nesta opção. Selecione os tipos de dados que pretende remover e toque em "LIMPAR DADOS".

[Voltar ao menu]

Desativar as notificações do navegador no Firefox:

Visite o site que está a apresentar notificações do navegador, toque no ícone apresentado à esquerda da barra de URL (o ícone não será necessariamente um "Cadeado") e selecione "Editar definições do site".

Na janela pop-up aberta, selecione a opção "Notificações" e toque em "LIMPAR".

[Voltar ao menu]

Repor o navegador Firefox:

Aceda a "Definições", desloque-se para baixo até ver "Aplicações" e toque nesta opção.

Desloque-se para baixo até encontrar a aplicação "Firefox", selecione-a e toque na opção "Armazenamento".

Toque em "LIMPAR DADOS" e confirme a ação tocando em "ELIMINAR". Tenha em atenção que repor o navegador eliminará todos os dados nele armazenados. Isto significa que todas as credenciais de acesso/palavras-passe guardadas, o histórico de navegação, as definições não predefinidas e outros dados serão eliminados. Também terá de voltar a iniciar sessão em todos os sites.

[Voltar ao menu]

Desinstalar aplicações potencialmente indesejadas e/ou maliciosas:

Aceda a "Definições", desloque-se para baixo até ver "Aplicações" e toque nesta opção.

Desloque-se para baixo até ver uma aplicação potencialmente indesejada e/ou maliciosa, selecione-a e toque em "Desinstalar". Se, por algum motivo, não conseguir remover a aplicação selecionada (por exemplo, se lhe for apresentada uma mensagem de erro), deve tentar utilizar o "Modo de segurança".

[Voltar ao menu]

Iniciar o dispositivo Android em "Modo de segurança":

O "Modo de segurança" no sistema operativo Android impede temporariamente a execução de todas as aplicações de terceiros. Utilizar este modo é uma boa forma de diagnosticar e resolver vários problemas (por exemplo, remover aplicações maliciosas que impedem os utilizadores de o fazer quando o dispositivo está a funcionar "normalmente").

Prima o botão "Ligar/Desligar" e mantenha-o premido até ver o ecrã "Desligar". Toque no ícone "Desligar" e mantenha-o premido. Após alguns segundos, surgirá a opção "Modo de segurança" e poderá executá-lo reiniciando o dispositivo.

[Voltar ao menu]

Verificar o consumo de bateria de várias aplicações:

Aceda a "Definições", desloque-se para baixo até ver "Manutenção do dispositivo" e toque nesta opção.

Toque em "Bateria" e verifique o consumo de cada aplicação. As aplicações legítimas/genuínas são concebidas para consumir o mínimo de energia possível, de forma a proporcionar a melhor experiência de utilização e poupar energia. Por isso, um consumo elevado de bateria pode indicar que a aplicação é maliciosa.

[Voltar ao menu]

Verificar a utilização de dados de várias aplicações:

Aceda a "Definições", desloque-se para baixo até ver "Ligações" e toque nesta opção.

Desloque-se para baixo até ver "Utilização de dados" e selecione esta opção. Tal como acontece com a bateria, as aplicações legítimas/genuínas são concebidas para minimizar ao máximo a utilização de dados. Isto significa que uma utilização elevada de dados pode indicar a presença de uma aplicação maliciosa. Tenha em atenção que algumas aplicações maliciosas podem ser concebidas para funcionar apenas quando o dispositivo está ligado a uma rede sem fios. Por este motivo, deve verificar a utilização de dados móveis e de Wi-Fi.

Se encontrar uma aplicação que utiliza muitos dados apesar de nunca a utilizar, recomendamos vivamente que a desinstale o mais rapidamente possível.

[Voltar ao menu]

Instalar as atualizações de software mais recentes:

Manter o software atualizado é uma boa prática no que diz respeito à segurança do dispositivo. Os fabricantes de dispositivos lançam continuamente várias correções de segurança e atualizações do Android para corrigir erros e falhas que podem ser explorados por cibercriminosos. Um sistema desatualizado é muito mais vulnerável, razão pela qual deve certificar-se sempre de que o software do seu dispositivo está atualizado.

Aceda a "Definições", desloque-se para baixo até ver "Atualização de software" e toque nesta opção.

Toque em "Transferir atualizações manualmente" e verifique se existem atualizações disponíveis. Se existirem, instale-as imediatamente. Recomendamos também que ative a opção "Transferir atualizações automaticamente" - esta permitirá que o sistema o notifique quando for lançada uma atualização e/ou a instale automaticamente.

[Voltar ao menu]

Repor o sistema para o seu estado predefinido:

Efetuar uma "Reposição de fábrica" é uma boa forma de remover todas as aplicações indesejadas, restaurar as predefinições do sistema e limpar o dispositivo em geral. No entanto, deve ter em conta que todos os dados do dispositivo serão eliminados, incluindo fotografias, ficheiros de vídeo/áudio, números de telefone (armazenados no dispositivo e não no cartão SIM), mensagens SMS, entre outros. Por outras palavras, o dispositivo será restaurado para o seu estado original.

Pode também restaurar apenas as definições básicas do sistema e/ou simplesmente as definições de rede.

Aceda a "Definições", desloque-se para baixo até ver "Acerca do telefone" e toque nesta opção.

Desloque-se para baixo até ver "Repor" e toque nesta opção. Agora, escolha a ação que pretende executar:
"Repor definições" - restaurar todas as definições do sistema para as predefinições;
"Repor definições de rede" - restaurar todas as definições relacionadas com a rede para as predefinições;
"Reposição de dados de fábrica" - repor todo o sistema e eliminar completamente todos os dados armazenados;

[Voltar ao menu]

Desativar aplicações que têm privilégios de administrador:

Se uma aplicação maliciosa obtiver privilégios de nível de administrador, pode danificar gravemente o sistema. Para manter o dispositivo o mais seguro possível, deve verificar sempre que aplicações têm esses privilégios e desativar as que não os deveriam ter.

Aceda a "Definições", desloque-se para baixo até ver "Ecrã de bloqueio e segurança" e toque nesta opção.

Desloque-se para baixo até ver "Outras definições de segurança", toque nesta opção e, em seguida, toque em "Aplicações de administração do dispositivo".

Identifique as aplicações que não devem ter privilégios de administrador, toque nelas e, em seguida, toque em "DESATIVAR".

Perguntas Frequentes (FAQ)

O meu dispositivo Android está infetado com o malware RemControl, devo formatar o meu dispositivo de armazenamento para me livrar dele?

Normalmente, a formatação não é necessária para remover o RemControl. Executar um software de segurança móvel fiável, como o Combo Cleaner, deverá ser suficiente para detetar e eliminar o malware do seu dispositivo.

Quais são os maiores problemas que o malware RemControl pode causar?

O RemControl pode sobrepor ecrãs falsos de início de sessão bancário às suas aplicações bancárias legítimas, roubando PINs, códigos de banca móvel e dados de cartões.

Também transmite o seu ecrã em tempo real para o operador, regista cada toque e tecla premida, captura o padrão de desbloqueio do seu dispositivo e impede-o de abrir as definições ou de efetuar uma reposição de fábrica do telemóvel. O resultado final pode incluir transações bancárias não autorizadas, perda total de acesso às contas e roubo de identidade.

Qual é o objetivo do malware RemControl?

O RemControl foi concebido principalmente para fraude bancária. O seu operador utiliza-o para roubar credenciais bancárias e assumir o controlo remoto dos dispositivos infetados para realizar transações não autorizadas. Dito isto, em alguns casos, os cibercriminosos também podem ser motivados por ressentimentos pessoais, hacktivismo ou interesses geopolíticos.

Como é que o malware RemControl se infiltrou no meu dispositivo Android?

O RemControl é distribuído através de páginas falsas da Google Play Store que se fazem passar pela aplicação IPTV TVTap, promovidas através de campanhas de malvertising na plataforma da Meta.

O malware para Android também é frequentemente propagado através de lojas de aplicações de terceiros, links de phishing partilhados por SMS ou redes sociais e falsos pedidos de atualização de software. Transfira sempre aplicações exclusivamente da Google Play Store oficial.

O Combo Cleaner irá proteger-me contra malware?

O Combo Cleaner é capaz de detetar e eliminar quase todas as infeções de malware conhecidas. Lembre-se de que é essencial efetuar uma análise completa do sistema, uma vez que ameaças sofisticadas como o RemControl normalmente se instalam profundamente no sistema para evitar uma remoção fácil.