Новый андроидный троян под названием Rokarolla нацеливается на 217 банковских приложений и может украсть ваш ПИН-код, SMS-коды и средства из криптокошелька.

      TL;DRZimperium обнаружила Rokarolla, троян для Android, нацеленный на 217 банковских приложений с 137 командами. Он крадет PIN-коды, перехватывает SMS и захватывает крипто-платежи.

      Исследователи безопасности в zLabs компании Zimperium задокументировали новый банковский троян для Android, который нацеливается на 217 банковских и криптовалютных приложений и содержит 137 удаленных команд, предоставляя оператору почти полный контроль над зараженным телефоном. Вредоносное ПО, которое Zimperium называет Rokarolla в честь своей инфраструктуры управления и контроля, может красть PIN-коды блокировки экрана, читать и отправлять SMS-сообщения, переписывать буфер обмена для перенаправления крипто-платежей и отключать Google Play Protect.

      Rokarolla распространяется через вредоносные веб-сайты, которые выдают себя за популярные приложения, такие как TikTok и Chrome. Первое, что устанавливает жертва, — это дроппер, замаскированный под Google Play Protect, который использует этот маскарад для установки основного полезного груза и получения доступа к функциям доступности. После запуска одна из первых команд трояна отключает Play Protect, удаляя основную автоматизированную защиту, на которую полагаются большинство пользователей Android.

      Финансовая кража осуществляется через наложения. Rokarolla получает список целей с своего сервера, и для каждого банковского или кошелькового приложения, помеченного как активное, загружает поддельную HTML-страницу входа и сохраняет ее в локальной базе данных. Когда жертва открывает законное приложение, вредоносное ПО накладывает поддельную страницу сверху и захватывает все, что в нее вводится, включая данные карты и учетные данные для входа.

      Отдельное наложение имитирует экран блокировки Android для сбора PIN-кода, шаблона или пароля устройства, что позволяет оператору выдавать команды даже когда телефон заблокирован. Троян читает каждое SMS на устройстве и может отправлять сообщения самостоятельно, что достаточно для перехвата одноразовых кодов, которые банки используют для авторизации транзакций. Сделав себя обработчиком по умолчанию для текстов и звонков, он также может блокировать входящие звонки, предотвращая уведомления о мошенничестве от достижения пользователя.

      Кейлоггер и логгер экрана записывают то, что вводит и видит пользователь, в то время как троян собирает контакты и читает уведомления. Буфер обмена переписывается незаметно, подменяя адреса кошельков, контролируемые злоумышленником, так что скопированный крипто-платеж оказывается на неправильном счете. Для наблюдения Rokarolla пропускает обычный метод захвата экрана MediaProjection, который вызывает видимое уведомление о записи, и вместо этого делает скриншоты через функции доступности, сжимает их в PNG и отправляет по одному кадру за раз.

      Вредоносное ПО поддерживает несколько резервных доменов управления и контроля и может получать новые на лету, поэтому отключение одного сервера мало что меняет в работе. Его 137 команд превышают 107, которые Zimperium насчитала в трояне HOOK, и сценарий тот же, что и в волне банковских троянов Android 2026 года: дропперы поддельных приложений, злоупотребление функциями доступности и HTML-наложения. Трояны для банков Android, использующие идентичные техники, уже были обнаружены, встроенные в поддельные стриминговые приложения, нацеленные на фанатов Кубка мира 2026 года.

      Zimperium не приписала Rokarolla какой-либо известной группе угроз, и ни одна независимая лаборатория еще не опубликовала отдельный анализ, поэтому технические утверждения основаны на одном источнике. Отчет компании документирует возможности, а не подтвержденные случаи заражения, что означает, что реальный масштаб инфекций остается неизвестным.

      Нет программного патча, который можно было бы применить, потому что это вредоносное ПО, а не уязвимость продукта. Защита стандартная для банковских троянов Android: устанавливайте приложения только из Google Play, оставляйте Play Protect включенным и рассматривайте любые неожиданные запросы на разрешение доступа как красный флаг, поскольку именно это единственное разрешение управляет всей цепочкой атаки. Zimperium утверждает, что ее собственные продукты обнаруживают это семейство, а индикаторы компрометации опубликованы в ее репозитории на GitHub.