بدافزار جدید اندرویدی Rokarolla پین‌ها، کدهای پیامکی و دارایی‌های کیف پول رمزارز را سرقت می‌کند

محققان امنیتی آزمایشگاه zLabs شرکت Zimperium یک تروجان بانکی جدید اندرویدی به نام «Rokarolla» را شناسایی و مستندسازی کرده‌اند که ۲۱۷ اپلیکیشن بانکی و ارز دیجیتال را هدف قرار می‌دهد و حاوی ۱۳۷ دستور از راه دور است؛ رقمی که از ۱۰۷ دستور تروجان HOOK که پیش‌تر توسط همین شرکت بررسی شده بود، فراتر می‌رود. این بدافزار از طریق وب‌سایت‌های مخرب که خود را به جای اپلیکیشن‌های شناخته‌شده‌ای مانند TikTok و Chrome جا می‌زنند، منتشر می‌شود. نخستین فایلی که قربانی نصب می‌کند یک «دراپر» (dropper) است که در قالب Google Play Protect ظاهر می‌شود و از این پوشش برای نصب بدافزار اصلی و دریافت دسترسی به سرویس «دسترس‌پذیری» (Accessibility) استفاده می‌کند.

Rokarolla پس از فعال‌سازی، قابلیت‌های گسترده‌ای برای سرقت اطلاعات در اختیار اپراتور خود قرار می‌دهد؛ از جمله نمایش صفحات ورود جعلی HTML روی اپلیکیشن‌های بانکی واقعی (overlay attack)، سرقت پین و رمز صفحه قفل از طریق یک پوشش تقلیدی، خواندن و ارسال پیامک برای رهگیری کدهای یک‌بار مصرف (OTP)، بازنویسی کلیپ‌بورد برای انحراف پرداخت‌های ارز دیجیتال، و ثبت کلیدها و تصاویر صفحه از طریق Accessibility به جای روش‌های معمول که هشدار قابل مشاهده ایجاد می‌کنند. این بدافزار همچنین Google Play Protect را غیرفعال می‌کند و از چندین دامنه پشتیبان برای سرور فرمان و کنترل (C2) بهره می‌برد. Zimperium توصیه می‌کند کاربران تنها از Google Play اپلیکیشن نصب کنند، Play Protect را فعال نگه دارند و هرگونه درخواست غیرمنتظره دسترسی به Accessibility را به عنوان نشانه‌ای هشداردهنده تلقی کنند.