Une application IPTV installée en dehors du Google Play Store peut cacher bien plus qu’un simple lecteur de chaînes. Des chercheurs de Group-IB viennent d’identifier RemControl, un nouveau malware bancaire Android capable de récupérer des informations particulièrement sensibles.
Et la France fait partie des pays visés.
Le piège repose notamment sur de fausses pages Google Play imitant l’application IPTV TVTap. Une fois installé et correctement autorisé par l’utilisateur, RemControl peut afficher de faux écrans au-dessus des applications bancaires, enregistrer ce qui est saisi et même contrôler certaines actions effectuées sur le smartphone.
Le problème ne concerne donc pas toutes les applications IPTV.
Mais les utilisateurs qui téléchargent des APK depuis des sites non officiels ont une bonne raison d’être particulièrement vigilants.
Une fausse application IPTV sert à installer RemControl
La méthode utilisée est assez trompeuse.
Les victimes peuvent tomber sur une page qui ressemble au Google Play Store et qui propose de télécharger TVTap, une application IPTV tierce qui n’est justement pas distribuée officiellement sur Google Play.
C’est là que le piège fonctionne.
Un utilisateur habitué à télécharger TVTap sous forme d’APK peut considérer comme normal le fait de récupérer l’application depuis un site externe.
Le fichier proposé peut pourtant installer RemControl.
Group-IB indique avoir observé les premiers échantillons du malware en juillet 2026, tandis que l’infrastructure utilisée par ses opérateurs serait active depuis au moins le mois de mai.
Les chercheurs ont également repéré des campagnes publicitaires malveillantes servant à attirer les utilisateurs vers ces fausses pages de téléchargement.
Ce type d’attaque rappelle les risques déjà observés avec certains boîtiers IPTV capables d’utiliser la connexion Internet de leur propriétaire à leur insu.
Ici, le danger se trouve directement sur le smartphone Android.
RemControl peut afficher un faux écran par-dessus votre application bancaire
Le fonctionnement du malware devient beaucoup plus inquiétant après son installation.
RemControl cherche notamment à obtenir l’autorisation d’utiliser les services d’accessibilité d’Android.
Cette fonction est normalement destinée à aider les personnes qui ont besoin d’outils d’assistance pour utiliser leur smartphone.
Entre de mauvaises mains, elle offre aussi énormément de possibilités.
Une fois cette permission accordée, RemControl peut placer un écran frauduleux par-dessus une véritable application bancaire.
Vous pensez alors saisir votre code dans l’application de votre banque.
En réalité, les données peuvent être récupérées par les attaquants.
Group-IB a confirmé plus de 30 écrans de phishing destinés à différentes institutions financières.
Les informations recherchées peuvent notamment inclure :
- les identifiants bancaires ;
- les codes PIN ;
- certains codes utilisés dans les applications bancaires ;
- les informations d’une carte bancaire ;
- les données saisies dans les formulaires frauduleux.
Ce n’est donc pas seulement un logiciel qui collecte quelques informations en arrière-plan.
Il cherche à reproduire directement l’interface utilisée par la victime.
La France fait partie des principales cibles
Les chercheurs ont découvert des interfaces frauduleuses destinées à des établissements situés dans plusieurs pays.
On retrouve notamment la France, l’Italie, l’Espagne, le Portugal, la Pologne, le Canada ainsi que plusieurs pays du Golfe.
Group-IB précise même que la France et l’Italie semblent être les deux principaux pays ciblés par les premières campagnes observées.
C’est un élément important pour les utilisateurs français d’Android.
RemControl n’est pas uniquement une menace théorique découverte à l’autre bout du monde.
Des banques françaises figurent bien parmi les cibles identifiées par les chercheurs.
Menow avait déjà évoqué un autre malware Android capable de viser des centaines d’applications bancaires et liées aux cryptomonnaies.
RemControl reprend certaines techniques similaires, mais y ajoute une infrastructure particulièrement flexible.
Le malware peut aussi observer et contrôler le smartphone à distance
Le vol des identifiants n’est qu’une partie de ses capacités.
RemControl peut également transmettre en temps réel des informations provenant de l’écran Android.
Les chercheurs expliquent qu’il est capable d’enregistrer certains clics et changements de texte, mais aussi de recevoir des commandes permettant d’effectuer des pressions, des balayages, du défilement ou encore des saisies de texte.
Il peut donc donner à l’attaquant une forme de contrôle à distance sur l’appareil infecté.
Autre détail préoccupant : le malware peut tenter de récupérer le schéma de déverrouillage Android.
Plusieurs interfaces de constructeurs ont été étudiées, notamment celles des smartphones Samsung, Xiaomi, Huawei, OPPO et OnePlus, en plus de l’interface Android standard.
Cela ne signifie pas que tous les smartphones de ces marques sont infectés.
Il s’agit des appareils pour lesquels RemControl possède des mécanismes adaptés à la récupération du schéma de verrouillage.
RemControl essaie même de gêner Google Play Protect
Les développeurs du malware ont prévu un autre mécanisme pour augmenter leurs chances de passer inaperçus.
Le programme utilisé pour installer RemControl peut lancer localement un service VPN destiné à bloquer certaines communications avec Google Play Services.
L’objectif est de gêner les contrôles réalisés en temps réel par Google Play Protect pendant l’installation.
Une technique comparable avait déjà été repérée sur ToxicPanda 2.0, un cheval de Troie Android capable de perturber Google Play.
RemControl tente également de rendre sa suppression plus difficile.
Lorsqu’une victime ouvre certains réglages Android liés à la gestion des applications ou aux services d’accessibilité, le malware peut détecter cette action et tenter de fermer l’écran concerné.
Le téléchargement d’un APK IPTV reste le point critique
Pour l’utilisateur, le principal enseignement est assez simple.
RemControl n’apparaît pas spontanément sur un smartphone Android.
Les campagnes décrites par Group-IB reposent sur l’installation d’un fichier provenant d’une fausse page de téléchargement.
Le danger augmente donc fortement lorsqu’une application IPTV est récupérée sous forme d’APK depuis une publicité, un site inconnu, un lien reçu sur les réseaux sociaux ou une page imitant Google Play.
Le simple logo du Play Store ne garantit rien.
Il faut regarder l’adresse du site.
Une application qui demande ensuite l’accès aux services d’accessibilité alors que cette permission ne semble pas nécessaire à son fonctionnement mérite également une attention immédiate.
Si vous avez récemment installé une application IPTV depuis une source inconnue et que celle-ci possède cette autorisation, vérifiez les applications installées ainsi que les accès accordés dans les paramètres Android.
En présence d’opérations bancaires inconnues, de demandes de codes inhabituelles ou d’un écran bancaire qui ne ressemble pas exactement à celui utilisé habituellement, mieux vaut également contacter sa banque depuis un autre appareil.
Toutes les applications IPTV ne sont évidemment pas des malwares.
Mais RemControl montre une nouvelle fois pourquoi les applications Android téléchargées en dehors des boutiques officielles constituent une cible particulièrement intéressante pour les cybercriminels.
Sources : Group-IB — BleepingComputer
Samuel Le Goff suit l’actualité des smartphones, des systèmes d’exploitation mobiles et de l’intelligence artificielle depuis plus de 14 ans. Il couvre notamment Samsung, Xiaomi, Apple, Android, iOS et les grandes tendances du numérique.
