Rokarolla получил почти полный контроль над Android-устройствами

Исследователи Zimperium zLabs обнаружили новый Android-банкер Rokarolla, нацеленный на 217 банковских и криптовалютных приложений. Вредонос маскируется под популярные приложения вроде TikTok и Google Chrome и распространяется через фальшивые сайты, сторонние магазины и соцсети. В Google Play его не обнаружили.

Заражение начинается с дроппера, который притворяется Google Play Protect и убеждает пользователя установить второй вредоносный компонент. После этого Rokarolla запрашивает доступ к Accessibility Services, SMS, уведомлениям и звонкам, а затем связывается с C2-сервером по HTTPS и передает данные об устройстве.

Главная опасность Rokarolla - широкий набор из 137 команд для удаленного управления. Троян умеет красть PIN-коды, графические ключи и пароли блокировки экрана через поддельные оверлеи, перехватывать банковские логины, читать и отправлять SMS, блокировать входящие звонки и скрывать активность за фальшивыми экранами установки.

Отдельно Zimperium отмечает функции слежки и кражи данных. Rokarolla может извлекать контакты WhatsApp*, запускать кейлоггер, считывать содержимое экрана, делать скриншоты и подменять данные в буфере обмена. Последний механизм особенно опасен для криптовалютных операций: адрес кошелька можно заменить незаметно для пользователя.

Для закрепления на устройстве вредонос скрывает иконку, отключает звук и вибрацию, удерживает экран включенным и пытается деактивировать Google Play Protect. Это делает Rokarolla не просто банковским трояном, а инструментом почти полного захвата Android-смартфона.

* Принадлежит компании Meta, признанной экстремистской организацией на территории Российской Федерации