Rokarolla: nuovo malware Android che accede al conto bancario

I ricercatori di Zimperium hanno identificato un nuovo malware Android che permette di rubare soldi dal conto corrente e criptovalute. Rokarolla è un trojan bancario che offre altre funzionalità avanzate, consentendo ai cybercriminali di prendere il controllo del dispositivo. Google ha comunicato che gli utenti sono protetti da Play Protect.

Attenzione alle false app di Chrome e TikTok

La catena di infezione inizia quando l’utente scarica app fasulle di Google Chrome e TikTok da siti non ufficiali. All’avvio viene mostrata una schermata simile a quella di Google Play Protect che avvisa dell’assenza di malware. Viene quindi chiesto di approvare l’installazione da fonti sconosciute, l’uso dei servizi di accessibilità e i permessi per vedere/inviare SMS, esecuzione in background e notifiche.

Successivamente all’installazione, Rokarolla invia al server C2 (command and control) le informazioni sul dispositivo (modello, versione di Android, lingua, risoluzione dello schermo, RAM e storage). Usando la nota tecnica dell’overlay, il malware mostra una schermata fasulla per catturare PIN, sequenza e password del lock screen. Quando l’utente apre un’app bancaria o di criptovalute, Rokarolla sovrappone una schermata fasulla a quella legittima (può rilevare 217 app). I cybercriminali rubano quindi credenziali di login e dati della carta di credito.

Rokarolla offre anche funzionalità di infostealer e spyware. Può infatti disattivare audio e vibrazione, rubare SMS, accedere ai contatti di WhatsApp, catturare i tasti premuti (keylogging), scattare screenshot, registrare i contenuti dello schermo, intercettare gli appunti (clipboard) e bloccare le chiamate in arrivo (ad esempio quelle della banca).

Rokarolla è in pratica un potente tool di spionaggio e sorveglianza remota. Le app fasulle di Chrome e TikTok sono distribuite tramite store di terze parti (ecco perché Google ha introdotto l’obbligo di verifica per gli sviluppatori). L’azienda di Mountain View ha comunicato che le app infette vengono rilevate e bloccate da Play Protect.