Rokarolla Android trojan targets 217 banking and crypto apps

•Rokarolla透過偽裝成TikTok或Google Chrome等熱門應用程式的惡意網站傳播，並利用偽裝成Google Play Protect的投遞器來安裝主要惡意酬載並獲取輔助功能服務權限。
•該木馬旨在實現「受害者隔離」，透過將自身設為預設通話和簡訊處理器來阻止銀行警報，並靜音裝置音訊和震動以隱藏惡意活動，從而防止受害者察覺詐欺行為。
•為規避偵測，Rokarolla會停用Google Play Protect，並利用輔助功能服務以時間戳記截圖而非即時螢幕錄影的方式進行隱蔽監控，同時還包含鍵盤記錄功能。

傳播機制：透過偽裝成TikTok或Google Chrome等合法應用程式的惡意網站進行傳播，並使用偽裝成Google Play Protect的投遞器來安裝主要惡意酬載。
權限濫用：濫用Android輔助功能服務（Accessibility Services）來讀取螢幕、操控介面、捕捉輸入（鍵盤記錄）、截取螢幕截圖以及部署偽造的覆蓋畫面。
資料竊取：透過偽造的覆蓋畫面竊取銀行和加密貨幣登入憑證、鎖定螢幕PIN碼/圖案/密碼、按鍵記錄、螢幕文字、簡訊（包括一次性密碼）以及WhatsApp聯絡人資料。
規避技術：
- 停用Google Play Protect。
- 靜音手機音訊和震動以隱藏警報。
- 從應用程式抽屜中隱藏其圖示。
- 強制螢幕保持開啟以防止惡意活動中斷。
- 使用輔助功能服務進行時間戳記截圖而非MediaProjection，以實現隱蔽監控。
- 維護多個備用命令與控制（C2）網域，並能即時接收新網域，以增強韌性。
剪貼簿劫持：即時重寫剪貼簿內容，當受害者複製自己的加密貨幣錢包地址時，會替換為攻擊者的錢包地址。
通訊攔截：將自身設為裝置預設的通話和簡訊處理器，以阻止來電（例如銀行詐欺警報）並讀取/發送簡訊。

Android銀行木馬將越來越注重「受害者隔離」和完全裝置接管，而非僅僅竊取憑證。

Rokarolla的能力展示了阻止銀行警報、靜音通知和維持持久控制以確保詐欺不被發現的趨勢，這使得傳統的多因素認證（MFA）效果降低。

濫用Android輔助功能服務仍將是複雜行動惡意軟體的主要攻擊途徑。

Rokarolla嚴重依賴輔助功能服務進行螢幕讀取、介面操控、鍵盤記錄和隱蔽截圖，突顯了其對攻擊者的持續有效性。

使用者將需要對應用程式權限和官方應用程式商店以外的下載來源保持更高的警惕。

Rokarolla透過偽裝成合法應用程式的惡意網站傳播，並使用偽裝成Google Play Protect的投遞器，強調了即使面對看似受信任的名稱，使用者也需謹慎。

2026-06

Zimperium zLabs 發現並詳細記錄了新型 Android 銀行木馬 Rokarolla。

Rokarolla Android 木馬鎖定 217 款銀行與加密貨幣應用程式