Rokarolla: trojan Android nhắm 217 ứng dụng ngân hàng và crypto
"Researchers reported a new Android banking trojan, Rokarolla, that targets 217 banking and cryptocurrency apps and uses 137 commands to steal credentials, SMS data, contacts, keystrokes, and screenshots. It is distributed through malicious sites posing as Chrome or TikTok installers, abuses Accessibility permissions and overlays for phishing and device control, and no CVE was identified; users are advised to avoid sideloaded APKs and be cautious with Accessibility access."
Tác động lớn đến bảo mật thiết bị và dữ liệu cá nhân do khả năng đánh cắp thông tin tài chính, lạm dụng Accessibility và chiếm quyền điều khiển gần như toàn diện. Điểm then chốt: lớp phủ giả mạo đăng nhập, thu thập SMS/contacts/keystrokes, vô hiệu hóa hoặc né Play Protect.
Rủi ro gián tiếp cho doanh nghiệp thông qua gian lận tài chính và rò rỉ dữ liệu người dùng có thể ảnh hưởng uy tín và chi phí xử lý sự cố. Điểm then chốt: tăng nguy cơ lừa đảo người dùng, gián đoạn niềm tin vào kênh ứng dụng, và chi phí hỗ trợ/điều tra khi có sự cố.
Các nhà nghiên cứu đã công bố Rokarolla, một trojan ngân hàng trên Android nhắm mục tiêu 217 ứng dụng ngân hàng và tiền mã hóa. Mã độc sử dụng bộ 137 lệnh để thu thập dữ liệu nhạy cảm và hỗ trợ gian lận tài chính.
Rokarolla được phát tán qua các website giả mạo cung cấp cài đặt Google Chrome hoặc TikTok. Trong quá trình cài đặt, ứng dụng đóng vai trò dropper, đồng thời giả lập Google Play Protect để thuyết phục người dùng cài đặt. Khi chạy, malware yêu cầu quyền Accessibility, cùng với quyền truy cập SMS, thông báo và cuộc gọi.
Về kỹ thuật đánh cắp, Rokarolla gửi thông tin cấu hình thiết bị về máy chủ C2 để tạo định danh nạn nhân, sau đó đối chiếu danh sách ứng dụng mục tiêu. Khi người dùng mở ứng dụng phù hợp, malware hiển thị lớp phủ đăng nhập giả để lấy thông tin đăng nhập và dữ liệu tài chính. Lớp phủ cũng được dùng để ghi lại PIN/mẫu khóa màn hình, che hoạt động và thao tác thiết bị ngay cả khi bị khóa.
Khuyến nghị: tránh tải APK ngoài Google Play nếu không tin cậy nguồn, hạn chế cấp quyền Accessibility khi không cần thiết, và theo dõi dấu hiệu như vô hiệu hóa Play Protect hoặc hành vi lớp phủ bất thường.