So werden Sie den RemControl Android-Banking-Trojaner los

Welche Art von Malware ist RemControl?

RemControl ist ein Android-Banking-Trojaner und Remote Access Trojan (RAT), der es auf Privatkunden von Banken in Westeuropa, im Nahen Osten und in Kanada abgesehen hat. Er wird als Malware-as-a-Service-Plattform (MaaS) betrieben. Laut einer von Group-IB veröffentlichten Untersuchung wurde die Malware erstmals im Juli 2026 identifiziert, wobei ihre Infrastruktur bereits seit Mai 2026 aktiv ist.

RemControl Banking-Trojaner Übersicht

RemControl wird über gefälschte Google Play Store-Seiten verbreitet, die sich als TVTap ausgeben, eine beliebte IPTV-App zum Ansehen von Live-TV-Sendern. Die gefälschten Seiten zeigen eine Bewertung von 4,9 Sternen und über 5 Millionen Downloads, um vertrauenswürdig zu wirken, und die Opfer werden über Malvertising auf der Werbeplattform von Meta dorthin gelockt.

Beim Öffnen zeigt der Dropper einen gefälschten Bildschirm „Update TVTap“ an und fordert die Berechtigung zum Einrichten einer VPN-Verbindung an. Dieses VPN dient nicht dem Schutz des Opfers - es trennt den Google Play Store vom Internet, sodass Google Play Protect die Malware während der Installation nicht scannen kann.

Jede installierte Kopie ist außerdem unterschiedlich signiert, was die Erkennung durch Sicherheitstools erschwert. Nach der Installation behauptet die Nutzlast, dass TVTap nicht aktiv sei, und leitet das Opfer an, die Bedienungshilfen in den Einstellungen zu aktivieren, wodurch die Malware die volle Kontrolle über das Gerät erhält.

Ab diesem Zeitpunkt überwacht RemControl, welche App geöffnet ist. Wenn das Opfer eine von über 30 ins Visier genommenen Banking-Apps startet, überdeckt die Malware diese mit einem gefälschten Anmeldebildschirm, der Angaben wie Kundennummer, PIN oder Sicherheitscode abfragt. Nach dem Absenden der Daten schließt sich der gefälschte Bildschirm und die echte App erscheint wieder.

Der Betreiber kann den Gerätebildschirm außerdem live beobachten und das Gerät fernsteuern - tippen, wischen und schreiben, als hielte er das Telefon in der Hand. RemControl kann Tastatureingaben aufzeichnen (Keylogging), das Entsperrmuster des Bildschirms erfassen und Inhalte der Zwischenablage auslesen, wodurch kopierte Passwörter oder Codes offengelegt werden können.

Die Erfassung des Entsperrmusters funktioniert auf Sperrbildschirmen vieler beliebter Telefonhersteller, darunter Samsung, Xiaomi, Huawei, OPPO und OnePlus, sowie unter Standard-Android.

Um die Entfernung zu erschweren, blockiert die Malware den Zugriff auf Einstellungsbildschirme zum Deinstallieren von Apps, zum Verwalten der Bedienungshilfen oder zum Zurücksetzen auf die Werkseinstellungen, indem sie diese sofort wieder verlässt. Außerdem ermittelt sie ihre Serveradresse über einen Telegram-Dead-Drop, sodass die Angreifer Server wechseln können, ohne die Malware zu aktualisieren.

Group-IB fand heraus, dass RemControl als Dienst an andere Cyberkriminelle vermietet wird, mit einem Panel zum Erstellen neuer Versionen, zum Verwalten infizierter Geräte und zum Bearbeiten gefälschter Anmeldebildschirme. Bemerkenswerterweise wurden Teile davon mit KI-Unterstützung entwickelt - eine aktive Phishing-Seite enthielt unterhalb ihres Anmeldeformulars sogar eine übrig gebliebene Antwort eines KI-Chatbots.

Zusammenfassend kann das Vorhandensein von RemControl auf einem Gerät zu schwerwiegenden Datenschutzverletzungen, finanziellen Verlusten, nicht autorisierten Banktransaktionen und Identitätsdiebstahl führen. Malware-Entwickler verbessern ihre Software häufig, sodass zukünftige Versionen von RemControl zusätzliche oder andere Funktionen aufweisen könnten.

Beispiele für Android-Banking-Trojaner

RemControl reiht sich in eine wachsende Liste von Android-Banking-Trojanern ein, die den Bedienungshilfen-Dienst missbrauchen, um über Phishing-Overlays Bankzugangsdaten zu stehlen, SMS-basierte Einmalcodes abzufangen und den Betreibern Echtzeit-Fernsteuerung über infizierte Geräte zu verschaffen. Weitere Beispiele ähnlicher Android-Banking-Trojaner sind Rokarolla, OverlayPhantom und PhantomCard/NFCShare.

Unabhängig davon, wie sich eine bestimmte Malware genau verhält, ist das Ergebnis dasselbe: Sie stellt eine ernsthafte Bedrohung für das Gerät und seinen Besitzer dar. Sichere Gewohnheiten und der Einsatz seriöser Sicherheitssoftware sind die wirksamsten Methoden, um geschützt zu bleiben.

Wie ist RemControl in mein Gerät eingedrungen?

RemControl wird über gefälschte Google Play Store-Seiten verbreitet, die sich als die IPTV-Anwendung TVTap ausgeben. Da TVTap im offiziellen Store nicht verfügbar ist, sind Benutzer bereits daran gewöhnt, die App aus inoffiziellen Quellen herunterzuladen, was sie zu einem idealen Köder macht.

Group-IB bestätigte, dass der Betreiber Malvertising-Kampagnen auf der Werbeplattform von Meta nutzt, um Opfer auf diese gefälschten Seiten zu lenken. Die Seiten prüfen den Browsertyp und den geografischen Standort des Besuchers, bevor sie die bösartige APK ausliefern, und zielen nur auf mobile Benutzer aus bestimmten Ländern ab.

Im Allgemeinen wird Android-Malware auch häufig über App-Stores von Drittanbietern, Phishing-Seiten, die Banken oder Dienstanbieter imitieren, bösartige Links, die über soziale Medien oder Messaging-Apps geteilt werden, sowie gefälschte Software-Update-Aufforderungen verbreitet.

Wie kann die Installation von Malware vermieden werden?

Laden Sie Anwendungen nur aus offiziellen Quellen wie dem Google Play Store oder der offiziellen Website des Entwicklers herunter. Seien Sie besonders vorsichtig bei Websites oder Werbeanzeigen, die Sie dazu auffordern, eine App außerhalb des offiziellen Stores herunterzuladen.

Überprüfen Sie vor der Installation einer App deren Berechtigungen. Seien Sie besonders misstrauisch gegenüber Apps, die Zugriff auf den Bedienungshilfen-Dienst anfordern, da diese Berechtigung von legitimen Apps nur selten benötigt wird und einer Anwendung nahezu vollständige Kontrolle über das Gerät verleiht.

Halten Sie das Betriebssystem Ihres Geräts und alle installierten Anwendungen auf dem neuesten Stand. Verwenden Sie seriöse mobile Sicherheitssoftware und seien Sie vorsichtig bei Links, die Sie per E-Mail, SMS oder über soziale Medien erhalten, da dies gängige Verbreitungskanäle für mobile Malware sind.

Gefälschte Google Play Store-Seite, die sich als TVTap ausgibt und zur Verbreitung von RemControl verwendet wird (auf Italienisch, Quelle: Group-IB):

RemControl-Dropper, der einen gefälschten TVTap-Update-Bildschirm anzeigt (Quelle: Group-IB):

RemControl fordert Zugriff auf den Bedienungshilfen-Dienst an (volle Kontrolle über das Gerät, Quelle: Group-IB):

Beispiele für Phishing-Overlays, die RemControl über Banking-Apps einblendet:

Screenshot eines Overlays mit einstufiger Authentifizierung (Quelle: Group-IB):

Screenshot eines Overlays mit zweistufiger Authentifizierung (Quelle: Group-IB):

Schnellmenü:

• Einführung
• Wie löscht man den Browserverlauf im Chrome-Webbrowser?
• Wie deaktiviert man Browserbenachrichtigungen im Chrome-Webbrowser?
• Wie setzt man den Chrome-Webbrowser zurück?
• Wie löscht man den Browserverlauf im Firefox-Webbrowser?
• Wie deaktiviert man Browserbenachrichtigungen im Firefox-Webbrowser?
• Wie setzt man den Firefox-Webbrowser zurück?
• Wie deinstalliert man potenziell unerwünschte und/oder bösartige Anwendungen?
• Wie startet man das Android-Gerät im „Abgesicherten Modus“?
• Wie überprüft man den Akkuverbrauch verschiedener Anwendungen?
• Wie überprüft man die Datennutzung verschiedener Anwendungen?
• Wie installiert man die neuesten Software-Updates?
• Wie setzt man das System auf den Standardzustand zurück?
• Wie deaktiviert man Anwendungen mit Administratorrechten?

Browserverlauf im Chrome-Webbrowser löschen:

Tippen Sie auf die Schaltfläche „Menü“ (drei Punkte in der oberen rechten Ecke des Bildschirms) und wählen Sie im geöffneten Dropdown-Menü „Verlauf“.

Tippen Sie auf „Browserdaten löschen“, wählen Sie den Tab „ERWEITERT“, legen Sie den Zeitraum und die zu löschenden Datentypen fest und tippen Sie auf „Daten löschen“.

[Zurück zum Inhaltsverzeichnis]

Browserbenachrichtigungen im Chrome-Webbrowser deaktivieren:

Tippen Sie auf die Schaltfläche „Menü“ (drei Punkte in der oberen rechten Ecke des Bildschirms) und wählen Sie im geöffneten Dropdown-Menü „Einstellungen“.

Scrollen Sie nach unten, bis Sie die Option „Website-Einstellungen“ sehen, und tippen Sie darauf. Scrollen Sie nach unten, bis Sie die Option „Benachrichtigungen“ sehen, und tippen Sie darauf.

Suchen Sie die Websites, die Browserbenachrichtigungen senden, tippen Sie darauf und klicken Sie auf „Löschen & zurücksetzen“. Dadurch werden die Berechtigungen entfernt, die diesen Websites zum Senden von Benachrichtigungen erteilt wurden. Wenn Sie dieselbe Website jedoch erneut besuchen, fragt sie möglicherweise wieder nach der Berechtigung. Sie können wählen, ob Sie diese Berechtigungen erteilen möchten oder nicht (wenn Sie ablehnen, wird die Website in den Bereich „Blockiert“ verschoben und fragt Sie nicht mehr nach der Berechtigung).

[Zurück zum Inhaltsverzeichnis]

Chrome-Webbrowser zurücksetzen:

Gehen Sie zu „Einstellungen“, scrollen Sie nach unten, bis Sie „Apps“ sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie die Anwendung „Chrome“ finden, wählen Sie sie aus und tippen Sie auf die Option „Speicher“.

Tippen Sie auf „SPEICHER VERWALTEN“, dann auf „ALLE DATEN LÖSCHEN“ und bestätigen Sie den Vorgang durch Tippen auf „OK“. Beachten Sie, dass durch das Zurücksetzen des Browsers alle darin gespeicherten Daten gelöscht werden. Das bedeutet, dass alle gespeicherten Logins/Passwörter, der Browserverlauf, benutzerdefinierte Einstellungen und andere Daten gelöscht werden. Sie müssen sich außerdem erneut bei allen Websites anmelden.

[Zurück zum Inhaltsverzeichnis]

Browserverlauf im Firefox-Webbrowser löschen:

Tippen Sie auf die Schaltfläche „Menü“ (drei Punkte in der oberen rechten Ecke des Bildschirms) und wählen Sie im geöffneten Dropdown-Menü „Verlauf“.

Scrollen Sie nach unten, bis Sie „Private Daten löschen“ sehen, und tippen Sie darauf. Wählen Sie die zu entfernenden Datentypen aus und tippen Sie auf „DATEN LÖSCHEN“.

[Zurück zum Inhaltsverzeichnis]

Browserbenachrichtigungen im Firefox-Webbrowser deaktivieren:

Besuchen Sie die Website, die Browserbenachrichtigungen sendet, tippen Sie auf das Symbol links neben der URL-Leiste (das Symbol ist nicht zwangsläufig ein „Schloss“) und wählen Sie „Website-Einstellungen bearbeiten“.

Aktivieren Sie im geöffneten Pop-up die Option „Benachrichtigungen“ und tippen Sie auf „LÖSCHEN“.

[Zurück zum Inhaltsverzeichnis]

Firefox-Webbrowser zurücksetzen:

Gehen Sie zu „Einstellungen“, scrollen Sie nach unten, bis Sie „Apps“ sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie die Anwendung „Firefox“ finden, wählen Sie sie aus und tippen Sie auf die Option „Speicher“.

Tippen Sie auf „DATEN LÖSCHEN“ und bestätigen Sie den Vorgang durch Tippen auf „LÖSCHEN“. Beachten Sie, dass durch das Zurücksetzen des Browsers alle darin gespeicherten Daten gelöscht werden. Das bedeutet, dass alle gespeicherten Logins/Passwörter, der Browserverlauf, benutzerdefinierte Einstellungen und andere Daten gelöscht werden. Sie müssen sich außerdem erneut bei allen Websites anmelden.

[Zurück zum Inhaltsverzeichnis]

Potenziell unerwünschte und/oder bösartige Anwendungen deinstallieren:

Gehen Sie zu „Einstellungen“, scrollen Sie nach unten, bis Sie „Apps“ sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie eine potenziell unerwünschte und/oder bösartige Anwendung sehen, wählen Sie sie aus und tippen Sie auf „Deinstallieren“. Falls Sie die ausgewählte App aus irgendeinem Grund nicht entfernen können (z. B. wenn eine Fehlermeldung angezeigt wird), sollten Sie es im „Abgesicherten Modus“ versuchen.

[Zurück zum Inhaltsverzeichnis]

Android-Gerät im „Abgesicherten Modus“ starten:

Der „Abgesicherte Modus“ im Android-Betriebssystem verhindert vorübergehend die Ausführung aller Anwendungen von Drittanbietern. Die Verwendung dieses Modus ist eine gute Möglichkeit, verschiedene Probleme zu diagnostizieren und zu beheben (z. B. bösartige Anwendungen zu entfernen, die Benutzer daran hindern, wenn das Gerät „normal“ läuft).

Drücken Sie die „Ein/Aus“-Taste und halten Sie sie gedrückt, bis der Bildschirm „Ausschalten“ erscheint. Tippen Sie auf das Symbol „Ausschalten“ und halten Sie es gedrückt. Nach einigen Sekunden erscheint die Option „Abgesicherter Modus“, und Sie können ihn durch einen Neustart des Geräts ausführen.

[Zurück zum Inhaltsverzeichnis]

Akkuverbrauch verschiedener Anwendungen überprüfen:

Gehen Sie zu „Einstellungen“, scrollen Sie nach unten, bis Sie „Gerätewartung“ sehen, und tippen Sie darauf.

Tippen Sie auf „Akku“ und überprüfen Sie den Verbrauch jeder Anwendung. Legitime/echte Anwendungen sind darauf ausgelegt, so wenig Energie wie möglich zu verbrauchen, um die beste Benutzererfahrung zu bieten und Strom zu sparen. Ein hoher Akkuverbrauch kann daher darauf hindeuten, dass die Anwendung bösartig ist.

[Zurück zum Inhaltsverzeichnis]

Datennutzung verschiedener Anwendungen überprüfen:

Gehen Sie zu „Einstellungen“, scrollen Sie nach unten, bis Sie „Verbindungen“ sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie „Datennutzung“ sehen, und wählen Sie diese Option. Wie beim Akku sind legitime/echte Anwendungen darauf ausgelegt, die Datennutzung so gering wie möglich zu halten. Eine sehr hohe Datennutzung kann daher auf das Vorhandensein einer bösartigen Anwendung hindeuten. Beachten Sie, dass manche bösartigen Anwendungen so konzipiert sein können, dass sie nur aktiv sind, wenn das Gerät mit einem WLAN verbunden ist. Aus diesem Grund sollten Sie sowohl die mobile als auch die WLAN-Datennutzung überprüfen.

Wenn Sie eine Anwendung finden, die viele Daten verbraucht, obwohl Sie sie nie verwenden, empfehlen wir Ihnen dringend, sie so schnell wie möglich zu deinstallieren.

[Zurück zum Inhaltsverzeichnis]

Neueste Software-Updates installieren:

Software auf dem neuesten Stand zu halten, ist eine bewährte Methode für die Gerätesicherheit. Gerätehersteller veröffentlichen fortlaufend verschiedene Sicherheitspatches und Android-Updates, um Fehler und Schwachstellen zu beheben, die von Cyberkriminellen ausgenutzt werden können. Ein veraltetes System ist deutlich anfälliger, weshalb Sie stets sicherstellen sollten, dass die Software Ihres Geräts aktuell ist.

Gehen Sie zu „Einstellungen“, scrollen Sie nach unten, bis Sie „Software-Update“ sehen, und tippen Sie darauf.

Tippen Sie auf „Updates manuell herunterladen“ und prüfen Sie, ob Updates verfügbar sind. Falls ja, installieren Sie diese sofort. Wir empfehlen außerdem, die Option „Updates automatisch herunterladen“ zu aktivieren - so kann das System Sie benachrichtigen, sobald ein Update veröffentlicht wird, und/oder es automatisch installieren.

[Zurück zum Inhaltsverzeichnis]

System auf den Standardzustand zurücksetzen:

Das Durchführen eines „Zurücksetzens auf Werkseinstellungen“ ist eine gute Möglichkeit, alle unerwünschten Anwendungen zu entfernen, die Systemeinstellungen auf die Standardwerte zurückzusetzen und das Gerät allgemein zu bereinigen. Beachten Sie jedoch, dass alle Daten auf dem Gerät gelöscht werden, einschließlich Fotos, Video-/Audiodateien, Telefonnummern (die auf dem Gerät und nicht auf der SIM-Karte gespeichert sind), SMS-Nachrichten usw. Mit anderen Worten: Das Gerät wird in seinen ursprünglichen Zustand zurückversetzt.

Sie können auch nur die grundlegenden Systemeinstellungen und/oder lediglich die Netzwerkeinstellungen zurücksetzen.

Gehen Sie zu „Einstellungen“, scrollen Sie nach unten, bis Sie „Telefoninfo“ sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie „Zurücksetzen“ sehen, und tippen Sie darauf. Wählen Sie nun die gewünschte Aktion:
„Einstellungen zurücksetzen“ - alle Systemeinstellungen auf die Standardwerte zurücksetzen;
„Netzwerkeinstellungen zurücksetzen“ - alle netzwerkbezogenen Einstellungen auf die Standardwerte zurücksetzen;
„Auf Werkseinstellungen zurücksetzen“ - das gesamte System zurücksetzen und alle gespeicherten Daten vollständig löschen;

[Zurück zum Inhaltsverzeichnis]

Anwendungen mit Administratorrechten deaktivieren:

Wenn eine bösartige Anwendung Administratorrechte erhält, kann sie das System ernsthaft beschädigen. Um das Gerät so sicher wie möglich zu halten, sollten Sie stets überprüfen, welche Apps über solche Rechte verfügen, und diejenigen deaktivieren, die sie nicht haben sollten.

Gehen Sie zu „Einstellungen“, scrollen Sie nach unten, bis Sie „Sperrbildschirm und Sicherheit“ sehen, und tippen Sie darauf.

Scrollen Sie nach unten, bis Sie „Andere Sicherheitseinstellungen“ sehen, tippen Sie darauf und dann auf „Geräteadministrator-Apps“.

Ermitteln Sie Anwendungen, die keine Administratorrechte haben sollten, tippen Sie darauf und dann auf „DEAKTIVIEREN“.

Häufig gestellte Fragen (FAQ)

Mein Android-Gerät ist mit der RemControl-Malware infiziert. Sollte ich mein Speichergerät formatieren, um sie loszuwerden?

Eine Formatierung ist zur Entfernung von RemControl in der Regel nicht erforderlich. Der Einsatz seriöser mobiler Sicherheitssoftware wie Combo Cleaner sollte ausreichen, um die Malware auf Ihrem Gerät zu erkennen und zu beseitigen.

Was sind die größten Probleme, die die RemControl-Malware verursachen kann?

RemControl kann gefälschte Bank-Anmeldebildschirme über Ihre legitimen Banking-Apps legen und so PINs, Mobile-Banking-Codes und Kartendaten stehlen.

Außerdem überträgt die Malware Ihren Bildschirm in Echtzeit an den Betreiber, protokolliert jedes Tippen und jede Tastatureingabe, erfasst das Entsperrmuster Ihres Geräts und hindert Sie daran, die Einstellungen zu öffnen oder das Telefon auf die Werkseinstellungen zurückzusetzen. Das Ergebnis können nicht autorisierte Banktransaktionen, der vollständige Verlust des Kontozugriffs und Identitätsdiebstahl sein.

Was ist der Zweck der RemControl-Malware?

RemControl ist in erster Linie für Bankbetrug konzipiert. Der Betreiber nutzt die Malware, um Bankzugangsdaten zu stehlen und die Fernsteuerung infizierter Geräte zu übernehmen, um nicht autorisierte Transaktionen durchzuführen. Allerdings können Cyberkriminelle in manchen Fällen auch durch persönliche Rachegelüste, Hacktivismus oder geopolitische Interessen motiviert sein.

Wie ist die RemControl-Malware in mein Android-Gerät eingedrungen?

RemControl wird über gefälschte Google Play Store-Seiten verbreitet, die sich als die IPTV-Anwendung TVTap ausgeben und über Malvertising-Kampagnen auf der Plattform von Meta beworben werden.

Android-Malware wird außerdem häufig über App-Stores von Drittanbietern, per SMS oder über soziale Medien geteilte Phishing-Links sowie gefälschte Software-Update-Aufforderungen verbreitet. Laden Sie Apps stets ausschließlich aus dem offiziellen Google Play Store herunter.

Wird Combo Cleaner mich vor Malware schützen?

Combo Cleaner ist in der Lage, nahezu alle bekannten Malware-Infektionen zu erkennen und zu beseitigen. Denken Sie daran, dass ein vollständiger Systemscan unerlässlich ist, da sich ausgeklügelte Bedrohungen wie RemControl in der Regel tief im System verankern, um einer einfachen Entfernung zu entgehen.