IT之家在6月19日有消息传来, 一家名为安全公司Zimperium的机构, 在6月17日的时候发布了一篇博文, 该博文报告声称, 其旗下之zLabs团队发现了一个名为Rokarolla的新型安卓银行木马, 此木马借助伪装变为TikTok或者Chrome的形式来进行传播, 并且还具备完整的能够接管设备的能力。

IT之家引述博文讲述, Rokarolla主要借由恶意网站来传播, 像是hxxps infocontablidades it com/这样的, 它会伪装成TikTok或者Google Chrome等受欢迎的应用, 从而诱导用户去安装。用户设备一旦被感染, 那这个木马就能对217个加密货币以及银行应用发起攻击, 借此实现完整的设备接管。

具备137条高级命令的Rokarolla, 能够全面控制受感染设备, 它的恶意功能之中, 有窃取锁屏凭证, 也就是PIN码、图案、密码, 还会窃取联系人列表以及短信数据, 并且使用键盘记录器持续监控用户输入, 为了隐藏自身操作, 它会拦截来电, 部署虚假屏幕叠加层, 禁用设备音频, 终止Google Play Protect。

Rokarolla 的核心攻击方法是去叠加虚假屏幕层, 当用户开启目标银行或者加密货币应用之后, 木马会从 C2 服务器那儿获取伪造的 HTML 登录页面, 而后把它叠加于真实应用的上面, 进而窃取用户所输入的账户凭证或者信用卡信息, 除此之外, 木马还会利用叠加层去隐藏后台的操作, 防止用户进行干预。

那个木马, 滥用安卓辅助功能也就是无障碍服务, 去解析屏幕的UI节点, 进而窃取WhatsApp联系人信息。与此同时, 它能够窃取全部短信内容, 并且代表受害者发送短信, 这是用来拦截银行OTP的。Rokarolla还可以拦截以及屏蔽电话, 以此防止用户接收银行的欺诈警报。

要躲避检测, Rokarolla就会去隐藏应用图标, 把设备音频和振动给禁用掉, 还会强制屏幕一直亮着。它还会试着去禁用Google Play Protect, 采用混淆以及加壳技术也就是JSONPacker来隐藏代码。