Badacze cyberbezpieczeństwa odkryli nowego trojana bankowego na Androida o nazwie Rokarolla – rodzinę złośliwego oprogramowania, która łączy tradycyjne oszustwa bankowe z rozbudowaną inwigilacją, zdalnym sterowaniem, mechanizmami utrzymania się w systemie i technikami izolowania ofiary.
Rokarolla, odkryta przez zespół Zimperium zLabs, jest rozpowszechniana za pośrednictwem złośliwych stron internetowych podszywających się pod legalne aplikacje, takie jak Google Chrome i TikTok. Ofiary są nakłaniane do pobrania czegoś, co wygląda na zaufaną aplikację, lecz cały łańcuch instalacji ostatecznie wdraża złośliwe oprogramowanie zaprojektowane do przejęcia urządzenia.
W przeciwieństwie do wielu trojanów bankowych, które koncentrują się głównie na kradzieży danych finansowych, Rokarolla idzie znacznie dalej. Potrafi monitorować dane wprowadzane przez użytkownika, przechwytywać poświadczenia ekranu blokady, przechwytywać wiadomości SMS, wyciszać powiadomienia, blokować połączenia, wyłączać zabezpieczenia i utrudniać właścicielowi kontrolowanie urządzenia.
Dlatego Rokarolla to coś więcej niż trojan bankowy. To platforma do przejmowania urządzeń mobilnych.
Jak Rokarolla trafia do ofiar
Rokarolla jest dystrybuowana poza oficjalnymi sklepami z aplikacjami, za pośrednictwem złośliwych stron internetowych.
Jedna ze zgłoszonych stron dystrybucyjnych to:
hxxps[://]infocontablidades[.]it[.]com/
Złośliwe oprogramowanie podszywa się pod znane aplikacje, aby zwiększyć zaufanie i zachęcić do instalacji.
Najczęstsze motywy podszywania się to:
- Google Chrome
- TikTok
- komponenty Androida związane z bezpieczeństwem
- narzędzia, które wyglądają na legalne
Ta ścieżka infekcji opiera się w dużej mierze na sideloadingu. Ofiara zostaje nakłoniona do zainstalowania aplikacji na Androida ze strony internetowej zamiast ze sklepu Google Play lub innego renomowanego sklepu z aplikacjami.
Google poinformowało, że w momencie publikacji raportu w Google Play nie znaleziono żadnych aplikacji zawierających to złośliwe oprogramowanie oraz że Google Play Protect domyślnie chroni użytkowników przed znanymi wersjami malware na urządzeniach z Androidem wyposażonych w Usługi Google Play.
Trojan bankowy z 137 poleceniami
Badacze z Zimperium ustalili, że Rokarolla obsługuje zestaw 137 poleceń.
Daje to atakującym szeroką kontrolę nad zainfekowanymi urządzeniami.
Jego możliwości obejmują:
- kradzież danych logowania do bankowości
- atakowanie aplikacji do obsługi kryptowalut
- przechwytywanie poświadczeń ekranu blokady
- rejestrowanie wprowadzanych danych za pomocą keyloggera
- kradzież list kontaktów
- wykradanie danych z wiadomości SMS
- przechwytywanie powiadomień
- blokowanie połączeń przychodzących
- wyciszanie dźwięku i wibracji urządzenia
- wyświetlanie fałszywych nakładek
- wyłączanie Google Play Protect
- ukrywanie ikony aplikacji
- komunikację z infrastrukturą dowodzenia i kontroli (C2)
- odbieranie dynamicznych instrukcji od operatorów
Według doniesień malware atakuje 217 różnych aplikacji bankowych i kryptowalutowych.
Tak szeroki zakres ataków sprawia, że może być skuteczny w wielu krajach, instytucjach finansowych i na platformach kryptowalutowych.
Izolacja ofiary: nowy poziom kontroli
Jedną z najbardziej niepokojących cech Rokarolli jest izolowanie ofiary.
Malware nie tylko wykrada informacje. Próbuje też uniemożliwić ofierze zauważenie ataku, reakcję na niego lub otrzymywanie ostrzeżeń.
Może:
- blokować połączenia przychodzące
- przechwytywać wiadomości SMS
- wyciszać dźwięk urządzenia
- wyłączać wibracje
- tłumić dźwięki alertów
- ukrywać swoją obecność
- tworzyć fałszywe nakładki
- utrudniać interwencję użytkownika
Jest to szczególnie niebezpieczne w trakcie oszustwa finansowego.
Jeśli bank zadzwoni do ofiary, aby zweryfikować podejrzaną aktywność, Rokarolla może zablokować to połączenie. Jeśli bank wyśle ostrzeżenie SMS-em lub hasło jednorazowe, malware może je przechwycić. Jeśli telefon zwykle odtwarza dźwięk alertu, Rokarolla potrafi go wyciszyć.
Ofiara może nadal fizycznie trzymać telefon w ręku, ale to atakujący kontroluje, jakie informacje do niej docierają.
Fałszywa nakładka ekranu blokady
Rokarolla wykorzystuje fałszywą nakładkę imitującą ekran blokady Androida.
Pozwala to atakującym przechwytywać poświadczenia wprowadzane przez użytkownika.
Jeśli ofiara sądzi, że odblokowuje telefon, może nieświadomie wpisać swój kod PIN, hasło lub wzór ekranu blokady w fałszywym interfejsie kontrolowanym przez malware.
Te poświadczenia są następnie wysyłane do infrastruktury atakujących.
Ta technika jest skuteczna, ponieważ poświadczenia ekranu blokady mogą pomóc atakującym w interakcji z urządzeniem nawet wtedy, gdy wydaje się ono zablokowane. W połączeniu z nadużywaniem usług ułatwień dostępu i zdalnymi poleceniami daje to atakującemu wysoki stopień kontroli.
Nadużywanie usług ułatwień dostępu
Podobnie jak wiele zaawansowanych rodzin malware na Androida, Rokarolla nadużywa usług ułatwień dostępu (Accessibility Services).
Usługi ułatwień dostępu mają pomagać użytkownikom w obsłudze urządzeń, zwłaszcza osobom, które potrzebują funkcji wspomagających. Jednak gdy nadużywa ich malware, dają one potężną kontrolę nad zawartością ekranu, kliknięciami, wprowadzanym tekstem i interakcjami z aplikacjami.
Rokarolla wykorzystuje podwyższone uprawnienia do:
- dostępu do SMS-ów
- powiadomień
- kontroli urządzenia
- interakcji z ekranem
- działania nakładek
Gdy te uprawnienia zostaną przyznane, malware może automatyzować działania, monitorować wprowadzane dane i zakłócać normalne korzystanie z urządzenia.
Dlatego użytkownicy powinni zachować ostrożność, gdy aplikacja prosi o uprawnienia ułatwień dostępu bez jasnego i uzasadnionego powodu.
Odporność komunikacji z serwerem C2
Po aktywacji Rokarolla komunikuje się ze swoją infrastrukturą dowodzenia i kontroli (C2) przez HTTPS.
Wysyła atakującym telemetrię urządzenia i odbiera nowe instrukcje.
Malware obsługuje również wiele zapasowych domen i dynamiczne aktualizacje C2. Pomaga mu to pozostać aktywnym, jeśli jedna z domen zostanie zablokowana lub wyłączona.
Ta odporność utrudnia likwidację infrastruktury i daje operatorom elastyczność w trakcie kampanii.
Ukrywanie się i utrzymanie w systemie
Rokarolla stosuje kilka technik, by pozostać niewidoczną i trudną do usunięcia.
Należą do nich:
- ukrywanie ikony w szufladzie aplikacji
- wyłączanie Google Play Protect
- wyciszanie dźwięków i wibracji
- tłumienie sygnałów świadczących o oszustwie
- zakłócanie połączeń przychodzących
- stosowanie zwodniczych nakładek
- utrzymywanie łączności z zapasową infrastrukturą
Celem jest to, by ofiara pozostawała nieświadoma na tyle długo, aby atakujący zdążyli wykraść poświadczenia, przechwycić procesy uwierzytelniania i przeprowadzić oszukańcze transakcje.
Utrudnia to wykrycie zagrożenia zwykłym użytkownikom.
Dlaczego uwierzytelnianie przez SMS jest zagrożone
Rokarolla pokazuje słabość uwierzytelniania opartego na SMS-ach.
Jeśli malware kontroluje urządzenie, jednorazowe hasła SMS mogą zostać przechwycone. Połączenia z banku mogą zostać zablokowane. Powiadomienia mogą zostać ukryte. Procesy weryfikacji mogą być manipulowane.
Nie oznacza to, że MFA jest bezużyteczne. Oznacza to, że SMS jest jedną z najsłabszych form MFA, gdy sam mobilny punkt końcowy jest skompromitowany.
Organizacje i instytucje finansowe powinny w miarę możliwości przechodzić na metody uwierzytelniania odporne na phishing i uwzględniające stan urządzenia.
Lepsze opcje to:
- klucze dostępu (passkeys)
- klucze bezpieczeństwa FIDO2
- uwierzytelnianie oparte na sprzęcie
- zatwierdzanie w aplikacji z kontrolą integralności urządzenia
- weryfikacja transakcji oparta na analizie ryzyka
- wykrywanie oszustw na podstawie zachowań
Atakujący się dostosowują. Metody uwierzytelniania muszą robić to samo.
Ryzyko BYOD dla organizacji
Rokarolla to nie tylko zagrożenie dla konsumentów korzystających z bankowości.
Wiele organizacji pozwala pracownikom korzystać do pracy z prywatnych urządzeń w ramach polityk „przynieś własne urządzenie” (BYOD).
Jeśli zainfekowany telefon z Androidem służy do dostępu do firmowej poczty, komunikatorów, pamięci w chmurze, zatwierdzeń MFA lub aplikacji korporacyjnych, ryzyko może sięgnąć do przedsiębiorstwa.
Skompromitowane urządzenie może ujawnić:
- służbowe e-maile
- kody uwierzytelniające
- firmowe wiadomości z komunikatorów
- kontakty
- pliki w chmurze
- aplikacje biznesowe
- dostęp do VPN lub tożsamości
- tokeny sesji
- dane klientów lub partnerów
Organizacje powinny traktować urządzenia mobilne jako pełnoprawne punkty końcowe, a nie jako urządzenia drugorzędne lub niskiego ryzyka.
Zalecenia dla użytkowników
Użytkownicy Androida mogą zmniejszyć ryzyko, stosując podstawowe zasady bezpieczeństwa mobilnego.
Zalecane kroki obejmują:
- instaluj aplikacje wyłącznie z Google Play lub zaufanych sklepów z aplikacjami
- unikaj pobierania plików APK ze stron internetowych
- bądź podejrzliwy wobec stron oferujących pobranie Chrome, TikToka lub aplikacji bankowych
- pozostaw włączony Google Play Protect
- uważnie sprawdzaj uprawnienia aplikacji
- odmawiaj dostępu do usług ułatwień dostępu, jeśli nie jest wyraźnie potrzebny
- unikaj aplikacji, które niepotrzebnie żądają uprawnień do SMS-ów, powiadomień i kontroli urządzenia
- aktualizuj Androida i aplikacje
- natychmiast usuwaj nieznane aplikacje
- uruchom ponownie urządzenie, jeśli pojawią się podejrzane zachowania
- skontaktuj się z bankiem z innego urządzenia, jeśli połączenia lub wiadomości wydają się blokowane
Sygnały ostrzegawcze to m.in. nieodebrane połączenia, wyciszone alerty, dziwne nakładki, ukryte aplikacje, nieoczekiwane prośby o uprawnienia lub nietypowe zachowanie aplikacji bankowej.
Zalecenia dla organizacji
Organizacje powinny traktować urządzenia z Androidem jako punkty końcowe wysokiego ryzyka, zwłaszcza w środowiskach BYOD.
Zalecane mechanizmy kontroli obejmują:
- egzekwowanie polityk zarządzania urządzeniami mobilnymi (MDM)
- blokowanie sideloadingu tam, gdzie to możliwe
- wymaganie zgodności urządzeń przed udzieleniem dostępu do usług firmowych
- wdrożenie narzędzi do ochrony przed zagrożeniami mobilnymi
- wykrywanie nadużyć usług ułatwień dostępu
- monitorowanie podejrzanego działania nakładek
- wykrywanie nietypowej komunikacji C2 z urządzeń mobilnych
- ograniczanie polegania na MFA opartym na SMS-ach
- wymaganie MFA odpornego na phishing przy dostępie do wrażliwych zasobów
- ograniczanie dostępu z niezarządzanych urządzeń
- edukowanie użytkowników na temat fałszywych aplikacji do pobrania
- oddzielanie danych prywatnych od firmowych za pomocą profili zarządzanych
- unieważnianie sesji z urządzeń podejrzewanych o kompromitację
Zespoły bezpieczeństwa nie powinny polegać wyłącznie na wykrywaniu opartym na sygnaturach. W przypadku malware mobilnego, takiego jak Rokarolla, kluczowe jest wykrywanie behawioralne.
Dlaczego trojany bankowe ewoluują
Trojany bankowe istnieją od lat, ale Rokarolla pokazuje, jak ta kategoria ewoluuje.
Atakujący nie skupiają się już wyłącznie na kradzieży danych logowania. Próbują przejąć kontrolę nad całym środowiskiem transakcji.
Oznacza to kontrolowanie:
- tego, co użytkownik widzi
- tego, co użytkownik słyszy
- jakie wiadomości do niego docierają
- jakie połączenia są przepuszczane
- jakie poświadczenia są wprowadzane
- jakie aplikacje można otworzyć
- jakie dane opuszczają urządzenie
- jakie polecenia są wykonywane zdalnie
To przejście od kradzieży poświadczeń do całkowitego zdominowania urządzenia.
W miarę jak banki ulepszają wykrywanie oszustw i uwierzytelnianie, atakujący potrzebują coraz głębszej kontroli nad samym punktem końcowym.
Podsumowanie
Rokarolla jest poważnym zagrożeniem dla Androida, ponieważ łączy w jednym pakiecie oszustwa bankowe, kradzież poświadczeń, inwigilację, utrzymanie się w systemie i zdalne sterowanie.
Jej zdolność do atakowania ponad 200 aplikacji bankowych i kryptowalutowych budzi niepokój, ale to możliwości izolowania ofiary czynią ją szczególnie niebezpieczną.
Blokując połączenia, przechwytując SMS-y, wyciszając alerty, ukrywając ikonę, wyłączając zabezpieczenia i stosując fałszywe nakładki ekranu blokady, Rokarolla potrafi utrzymać ofiarę w nieświadomości, podczas gdy atakujący przejmują kontrolę.
Dla użytkowników najważniejszą obroną jest unikanie sideloadingu aplikacji i instalowanie oprogramowania wyłącznie z zaufanych źródeł. Dla organizacji wniosek jest taki, że urządzenia mobilne trzeba traktować jak pełnoprawne punkty końcowe, objęte skutecznym monitoringiem, egzekwowaniem polityk i nowoczesnymi mechanizmami uwierzytelniania.
W dzisiejszym krajobrazie zagrożeń smartfon to nie tylko telefon. To brama do pieniędzy, tożsamości i firmowych zasobów – a atakujący doskonale o tym wiedzą.
