Hoe verwijdert u de RemControl Android banking-trojan?

Wat voor soort malware is RemControl?

RemControl is een Android-banktrojan en Remote Access Trojan (RAT) die zich richt op particuliere bankklanten in West-Europa, het Midden-Oosten en Canada. Het werkt als een Malware-as-a-Service (MaaS)-platform. Volgens onderzoek gepubliceerd door Group-IB werd de malware voor het eerst geïdentificeerd in juli 2026, terwijl de infrastructuur al sinds mei 2026 actief is.

Overzicht van de RemControl banking trojan

RemControl wordt verspreid via valse Google Play Store-pagina's die zich voordoen als TVTap, een populaire IPTV-app om live tv-zenders te bekijken. De valse pagina's tonen een beoordeling van 4,9 sterren en meer dan 5 miljoen downloads om betrouwbaar over te komen, en slachtoffers worden ernaartoe gelokt via malvertising op het advertentieplatform van Meta.

Wanneer de dropper wordt geopend, toont deze een vals scherm "Update TVTap" en vraagt om toestemming om een VPN-verbinding in te stellen. Deze VPN is er niet om het slachtoffer te beschermen - hij sluit de Google Play Store af van het internet, zodat Google Play Protect de malware niet kan scannen terwijl deze wordt geïnstalleerd.

Elke geïnstalleerde kopie is bovendien anders ondertekend, waardoor beveiligingstools deze moeilijker kunnen herkennen. Na de installatie beweert de payload dat TVTap niet actief is en leidt het slachtoffer naar de instellingen om Toegankelijkheid in te schakelen, wat de malware volledige controle over het apparaat geeft.

Vanaf dat moment houdt RemControl bij welke app geopend is. Wanneer het slachtoffer een van de meer dan 30 doelwit-bankapps start, legt de malware er een vals inlogscherm overheen dat vraagt om gegevens zoals een klantnummer, pincode of beveiligingscode. Nadat de gegevens zijn ingediend, sluit het valse scherm en verschijnt de echte app weer.

De operator kan ook live meekijken op het scherm van het apparaat en het op afstand bedienen - tikken, vegen en typen alsof hij de telefoon zelf vasthoudt. RemControl kan toetsaanslagen registreren (keylogging), het ontgrendelpatroon van het scherm vastleggen en de inhoud van het klembord uitlezen, waardoor gekopieerde wachtwoorden of codes kunnen worden blootgesteld.

Het vastleggen van het ontgrendelpatroon werkt op vergrendelschermen van veel populaire telefoonfabrikanten, waaronder Samsung, Xiaomi, Huawei, OPPO en OnePlus, evenals op standaard Android.

Om verwijdering te bemoeilijken, blokkeert de malware de toegang tot instellingenschermen die worden gebruikt om apps te verwijderen, Toegankelijkheid te beheren of de fabrieksinstellingen te herstellen, door deze schermen onmiddellijk te verlaten. Daarnaast achterhaalt de malware het adres van zijn server via een Telegram-dead-drop, zodat aanvallers van server kunnen wisselen zonder de malware bij te werken.

Group-IB ontdekte dat RemControl als dienst wordt verhuurd aan andere cybercriminelen, met een paneel voor het bouwen van nieuwe versies, het beheren van geïnfecteerde apparaten en het bewerken van valse inlogschermen. Opvallend is dat delen ervan met behulp van AI zijn gebouwd - één actieve phishingpagina bevatte zelfs een achtergebleven antwoord van een AI-chatbot onder het inlogformulier.

Samengevat kan de aanwezigheid van RemControl op een apparaat leiden tot ernstige privacyschendingen, financiële verliezen, ongeautoriseerde banktransacties en identiteitsdiefstal. Malwareontwikkelaars verbeteren hun software vaak, dus toekomstige versies van RemControl kunnen extra of andere functies hebben.

Voorbeelden van Android banking trojans

RemControl voegt zich bij een groeiende lijst Android banking trojans die misbruik maken van de Toegankelijkheidsservice om bankgegevens te stelen via phishing-overlays, sms-eenmalige codes te onderscheppen en operators realtime controle op afstand te geven over geïnfecteerde apparaten. Andere voorbeelden van vergelijkbare Android banking trojans zijn Rokarolla, OverlayPhantom en PhantomCard/NFCShare.

Ongeacht hoe een bepaald stuk malware zich precies gedraagt, het eindresultaat is hetzelfde: het vormt een ernstige bedreiging voor het apparaat en de eigenaar ervan. Veilige gewoonten aanhouden en betrouwbare beveiligingssoftware gebruiken zijn de meest effectieve manieren om beschermd te blijven.

Hoe is RemControl op mijn apparaat terechtgekomen?

RemControl wordt verspreid via valse Google Play Store-pagina's die zich voordoen als de TVTap IPTV-applicatie. Aangezien TVTap niet beschikbaar is in de officiële store, zijn gebruikers er al aan gewend om de app via onofficiële bronnen te downloaden, wat het een ideaal lokmiddel maakt.

Group-IB bevestigde dat de operator malvertisingcampagnes op het advertentieplatform van Meta gebruikt om slachtoffers naar deze valse pagina's te leiden. De pagina's controleren het browsertype en de geolocatie van de bezoeker voordat de kwaadaardige APK wordt aangeboden, waarbij alleen mobiele gebruikers uit specifieke landen het doelwit zijn.

In het algemeen wordt Android-malware ook vaak verspreid via app-stores van derden, phishingpagina's die banken of dienstverleners nabootsen, kwaadaardige links die via sociale media of berichtenapps worden gedeeld, en valse meldingen voor software-updates.

Hoe voorkomt u de installatie van malware?

Download applicaties alleen via officiële bronnen zoals de Google Play Store of de officiële website van de ontwikkelaar. Wees vooral op uw hoede voor websites of advertenties die u aansporen om een app buiten de officiële store te downloaden.

Controleer de machtigingen van een app voordat u deze installeert. Wees bijzonder achterdochtig tegenover apps die toegang tot de Toegankelijkheidsservice vragen, aangezien deze machtiging zelden nodig is voor legitieme apps en een applicatie vrijwel volledige controle over het apparaat geeft.

Houd het besturingssysteem van uw apparaat en alle geïnstalleerde applicaties up-to-date. Gebruik betrouwbare mobiele beveiligingssoftware en wees voorzichtig met links die u via e-mail, sms of sociale media ontvangt, aangezien dit veelgebruikte verspreidingskanalen voor mobiele malware zijn.

Valse Google Play Store-pagina die zich voordoet als TVTap en wordt gebruikt om RemControl te verspreiden (in het Italiaans, bron: Group-IB):

RemControl-dropper die een vals TVTap-updatescherm toont (bron: Group-IB):

RemControl vraagt om toegang tot de Toegankelijkheidsservice (volledige controle over het apparaat, bron: Group-IB):

Voorbeelden van phishing-overlays die RemControl over bankapps weergeeft:

Screenshot van een overlay voor authenticatie in één stap (bron: Group-IB):

Screenshot van een overlay voor authenticatie in twee stappen (bron: Group-IB):

Snelmenu:

• Inleiding
• Hoe verwijdert u de browsegeschiedenis uit de Chrome-webbrowser?
• Hoe schakelt u browsermeldingen uit in de Chrome-webbrowser?
• Hoe herstelt u de Chrome-webbrowser?
• Hoe verwijdert u de browsegeschiedenis uit de Firefox-webbrowser?
• Hoe schakelt u browsermeldingen uit in de Firefox-webbrowser?
• Hoe herstelt u de Firefox-webbrowser?
• Hoe verwijdert u potentieel ongewenste en/of kwaadaardige applicaties?
• Hoe start u het Android-apparaat op in "Veilige modus"?
• Hoe controleert u het batterijverbruik van verschillende applicaties?
• Hoe controleert u het dataverbruik van verschillende applicaties?
• Hoe installeert u de nieuwste software-updates?
• Hoe zet u het systeem terug naar de standaardinstellingen?
• Hoe schakelt u applicaties met beheerdersrechten uit?

Browsegeschiedenis verwijderen uit de Chrome-webbrowser:

Tik op de knop "Menu" (drie puntjes in de rechterbovenhoek van het scherm) en selecteer "Geschiedenis" in het geopende vervolgkeuzemenu.

Tik op "Browsegegevens wissen", selecteer het tabblad "GEAVANCEERD", kies de periode en de gegevenstypen die u wilt verwijderen en tik op "Gegevens wissen".

[Terug naar de inhoudsopgave]

Browsermeldingen uitschakelen in de Chrome-webbrowser:

Tik op de knop "Menu" (drie puntjes in de rechterbovenhoek van het scherm) en selecteer "Instellingen" in het geopende vervolgkeuzemenu.

Scrol omlaag tot u de optie "Site-instellingen" ziet en tik erop. Scrol omlaag tot u de optie "Meldingen" ziet en tik erop.

Zoek de websites die browsermeldingen weergeven, tik erop en klik op "Wissen en resetten". Hiermee worden de machtigingen verwijderd die aan deze websites zijn verleend om meldingen te tonen. Zodra u dezelfde site opnieuw bezoekt, kan deze echter opnieuw om toestemming vragen. U kunt zelf kiezen of u deze machtigingen geeft of niet (als u weigert, komt de website in het gedeelte "Geblokkeerd" terecht en wordt u niet langer om toestemming gevraagd).

[Terug naar de inhoudsopgave]

De Chrome-webbrowser herstellen:

Ga naar "Instellingen", scrol omlaag tot u "Apps" ziet en tik erop.

Scrol omlaag tot u de applicatie "Chrome" vindt, selecteer deze en tik op de optie "Opslag".

Tik op "OPSLAG BEHEREN", daarna op "ALLE GEGEVENS WISSEN" en bevestig de actie door op "OK" te tikken. Houd er rekening mee dat het herstellen van de browser alle daarin opgeslagen gegevens verwijdert. Dit betekent dat alle opgeslagen inloggegevens/wachtwoorden, browsegeschiedenis, niet-standaardinstellingen en andere gegevens worden verwijderd. U zult ook opnieuw moeten inloggen op alle websites.

[Terug naar de inhoudsopgave]

Browsegeschiedenis verwijderen uit de Firefox-webbrowser:

Tik op de knop "Menu" (drie puntjes in de rechterbovenhoek van het scherm) en selecteer "Geschiedenis" in het geopende vervolgkeuzemenu.

Scrol omlaag tot u "Privégegevens wissen" ziet en tik erop. Selecteer de gegevenstypen die u wilt verwijderen en tik op "GEGEVENS WISSEN".

[Terug naar de inhoudsopgave]

Browsermeldingen uitschakelen in de Firefox-webbrowser:

Bezoek de website die browsermeldingen weergeeft, tik op het pictogram links van de adresbalk (het pictogram is niet noodzakelijk een "Slot") en selecteer "Website-instellingen bewerken".

Vink in het geopende pop-upvenster de optie "Meldingen" aan en tik op "WISSEN".

[Terug naar de inhoudsopgave]

De Firefox-webbrowser herstellen:

Ga naar "Instellingen", scrol omlaag tot u "Apps" ziet en tik erop.

Scrol omlaag tot u de applicatie "Firefox" vindt, selecteer deze en tik op de optie "Opslag".

Tik op "GEGEVENS WISSEN" en bevestig de actie door op "VERWIJDEREN" te tikken. Houd er rekening mee dat het herstellen van de browser alle daarin opgeslagen gegevens verwijdert. Dit betekent dat alle opgeslagen inloggegevens/wachtwoorden, browsegeschiedenis, niet-standaardinstellingen en andere gegevens worden verwijderd. U zult ook opnieuw moeten inloggen op alle websites.

[Terug naar de inhoudsopgave]

Potentieel ongewenste en/of kwaadaardige applicaties verwijderen:

Ga naar "Instellingen", scrol omlaag tot u "Apps" ziet en tik erop.

Scrol omlaag tot u een potentieel ongewenste en/of kwaadaardige applicatie ziet, selecteer deze en tik op "Verwijderen". Als u de geselecteerde app om de een of andere reden niet kunt verwijderen (u krijgt bijvoorbeeld een foutmelding), probeer dan de "Veilige modus" te gebruiken.

[Terug naar de inhoudsopgave]

Het Android-apparaat opstarten in "Veilige modus":

De "Veilige modus" in het Android-besturingssysteem voorkomt tijdelijk dat applicaties van derden worden uitgevoerd. Het gebruik van deze modus is een goede manier om diverse problemen te diagnosticeren en op te lossen (bijvoorbeeld het verwijderen van kwaadaardige applicaties die gebruikers verhinderen dit te doen wanneer het apparaat "normaal" werkt).

Druk op de knop "Aan/uit" en houd deze ingedrukt tot u het scherm "Uitschakelen" ziet. Tik op het pictogram "Uitschakelen" en houd het ingedrukt. Na enkele seconden verschijnt de optie "Veilige modus" en kunt u deze starten door het apparaat opnieuw op te starten.

[Terug naar de inhoudsopgave]

Het batterijverbruik van verschillende applicaties controleren:

Ga naar "Instellingen", scrol omlaag tot u "Apparaatonderhoud" ziet en tik erop.

Tik op "Batterij" en controleer het verbruik van elke applicatie. Legitieme/echte applicaties zijn ontworpen om zo weinig mogelijk energie te verbruiken, om de beste gebruikerservaring te bieden en stroom te besparen. Een hoog batterijverbruik kan er daarom op wijzen dat de applicatie kwaadaardig is.

[Terug naar de inhoudsopgave]

Het dataverbruik van verschillende applicaties controleren:

Ga naar "Instellingen", scrol omlaag tot u "Verbindingen" ziet en tik erop.

Scrol omlaag tot u "Datagebruik" ziet en selecteer deze optie. Net als bij de batterij zijn legitieme/echte applicaties ontworpen om het dataverbruik zoveel mogelijk te beperken. Dit betekent dat een zeer hoog dataverbruik kan wijzen op de aanwezigheid van een kwaadaardige applicatie. Houd er rekening mee dat sommige kwaadaardige applicaties zo ontworpen kunnen zijn dat ze alleen actief zijn wanneer het apparaat met een draadloos netwerk is verbonden. Controleer daarom zowel het mobiele als het wifi-dataverbruik.

Als u een applicatie vindt die veel data verbruikt, terwijl u deze nooit gebruikt, raden wij u ten zeerste aan deze zo snel mogelijk te verwijderen.

[Terug naar de inhoudsopgave]

De nieuwste software-updates installeren:

Software up-to-date houden is een goede gewoonte als het gaat om de veiligheid van uw apparaat. Fabrikanten van apparaten brengen voortdurend diverse beveiligingspatches en Android-updates uit om fouten en bugs te verhelpen die door cybercriminelen kunnen worden misbruikt. Een verouderd systeem is veel kwetsbaarder, daarom moet u er altijd voor zorgen dat de software van uw apparaat up-to-date is.

Ga naar "Instellingen", scrol omlaag tot u "Software-update" ziet en tik erop.

Tik op "Updates handmatig downloaden" en controleer of er updates beschikbaar zijn. Zo ja, installeer ze dan onmiddellijk. Wij raden ook aan de optie "Updates automatisch downloaden" in te schakelen - hiermee kan het systeem u op de hoogte stellen zodra er een update is uitgebracht en/of deze automatisch installeren.

[Terug naar de inhoudsopgave]

Het systeem terugzetten naar de standaardinstellingen:

Het uitvoeren van een "Fabrieksreset" is een goede manier om alle ongewenste applicaties te verwijderen, de systeeminstellingen naar de standaardwaarden te herstellen en het apparaat in het algemeen op te schonen. U moet er echter rekening mee houden dat alle gegevens op het apparaat worden verwijderd, inclusief foto's, video-/audiobestanden, telefoonnummers (opgeslagen op het apparaat, niet op de simkaart), sms-berichten, enzovoort. Met andere woorden: het apparaat wordt teruggezet naar zijn oorspronkelijke staat.

U kunt ook alleen de basissysteeminstellingen en/of de netwerkinstellingen herstellen.

Ga naar "Instellingen", scrol omlaag tot u "Over de telefoon" ziet en tik erop.

Scrol omlaag tot u "Resetten" ziet en tik erop. Kies nu de actie die u wilt uitvoeren:
"Instellingen resetten" - alle systeeminstellingen terugzetten naar de standaardwaarden;
"Netwerkinstellingen resetten" - alle netwerkgerelateerde instellingen terugzetten naar de standaardwaarden;
"Fabrieksgegevens herstellen" - het volledige systeem resetten en alle opgeslagen gegevens volledig verwijderen;

[Terug naar de inhoudsopgave]

Applicaties met beheerdersrechten uitschakelen:

Als een kwaadaardige applicatie beheerdersrechten verkrijgt, kan deze het systeem ernstig beschadigen. Om het apparaat zo veilig mogelijk te houden, moet u altijd controleren welke apps dergelijke rechten hebben en de apps uitschakelen die deze niet zouden moeten hebben.

Ga naar "Instellingen", scrol omlaag tot u "Vergrendelscherm en beveiliging" ziet en tik erop.

Scrol omlaag tot u "Andere beveiligingsinstellingen" ziet, tik erop en tik vervolgens op "Apparaatbeheerder-apps".

Identificeer applicaties die geen beheerdersrechten zouden moeten hebben, tik erop en tik vervolgens op "DEACTIVEREN".

Veelgestelde vragen (FAQ)

Mijn Android-apparaat is geïnfecteerd met RemControl-malware, moet ik mijn opslagapparaat formatteren om ervan af te komen?

Formatteren is doorgaans niet nodig om RemControl te verwijderen. Het gebruik van betrouwbare mobiele beveiligingssoftware zoals Combo Cleaner zou voldoende moeten zijn om de malware op uw apparaat te detecteren en te verwijderen.

Wat zijn de grootste problemen die RemControl-malware kan veroorzaken?

RemControl kan valse inlogschermen van banken over uw legitieme bankapps leggen en zo pincodes, codes voor mobiel bankieren en kaartgegevens stelen.

De malware streamt bovendien uw scherm in realtime naar de operator, registreert elke tik en toetsaanslag, legt het ontgrendelpatroon van uw apparaat vast en verhindert dat u de instellingen opent of de fabrieksinstellingen van de telefoon herstelt. Het eindresultaat kan bestaan uit ongeautoriseerde banktransacties, volledig verlies van toegang tot accounts en identiteitsdiefstal.

Wat is het doel van RemControl-malware?

RemControl is voornamelijk ontworpen voor bankfraude. De operator gebruikt de malware om bankgegevens te stelen en op afstand controle over geïnfecteerde apparaten te krijgen om ongeautoriseerde transacties uit te voeren. Toch kunnen cybercriminelen in sommige gevallen ook gemotiveerd worden door persoonlijke wrok, hacktivisme of geopolitieke belangen.

Hoe is RemControl-malware op mijn Android-apparaat terechtgekomen?

RemControl wordt verspreid via valse Google Play Store-pagina's die zich voordoen als de TVTap IPTV-applicatie en die worden gepromoot via malvertisingcampagnes op het platform van Meta.

Android-malware wordt ook vaak verspreid via app-stores van derden, phishinglinks die via sms of sociale media worden gedeeld, en valse meldingen voor software-updates. Download apps altijd uitsluitend via de officiële Google Play Store.

Beschermt Combo Cleaner mij tegen malware?

Combo Cleaner kan vrijwel alle bekende malware-infecties detecteren en verwijderen. Houd er rekening mee dat het uitvoeren van een volledige systeemscan essentieel is, aangezien geavanceerde bedreigingen zoals RemControl zich doorgaans diep in het systeem nestelen om eenvoudige verwijdering te voorkomen.