Банковский троян Rokarolla крадёт учётные данные и управляет Android-устройствами
Rokarolla сочетает фишинг учётных данных, наблюдение за устройством и удалённое управление. Основной код трояна скрыт в ресурсах APK как DEX-файл второй стадии: загрузчик декодирует его во время выполнения, после чего класс приложения загружает код. Проанализированный пакет с идентификатором com.eje.clx использует обманчивую метку, имитирующую TikTok, и содержит девять внешних DEX-файлов, а также восстановленный вредоносный код.
Команды и управление устройством
Встроенный диспетчер команд содержит 135 литеральных меток. Постоянно работающая служба переднего плана отправляет сведения о состоянии устройства на /heartbeat.php, получает значения параметров command и params и передаёт их соответствующим обработчикам. Те управляют оверлеями, функцией «Доступность», захватом экрана, вводом, SMS, звонками, уведомлениями, настройками и жизненным циклом приложений.
Доступ к функции «Доступность» даёт трояну возможность просматривать деревья AccessibilityNodeInfo, вводить текст, выполнять щелчки, свайпы и произвольные жесты, блокировать или менять поведение касаний. ВПО также отображает оверлеи для ввода PIN-кода или графического ключа. Снимки экрана и псевдо-VNC обеспечивают визуальную обратную связь и удалённое управление без демонстрации использования стандартного протокола VNC.
Rokarolla может читать и выборочно удалять уведомления, обрабатывать SMS- и WAP-push-сообщения, собирать контакты и взаимодействовать со звонками. Для взаимодействия с помощью OCR скриншоты вместе с целевым текстом и сведениями о совпадениях загружаются на /ocr.php. Полученные координаты могут использоваться для кликов через функцию «Доступность» или жесты.
Серверная инфраструктура и данные
Сервер управляет списком целевых приложений через /monitored_apps_full.php. HTML-контент и оверлеи извлекаются или обновляются через /get_html_mapping.php и мост JavaScript WebView. Данные учётных записей отправляются на /save_credentials.php.
В площадку встроены две HTTPS-базы: morevoms.cfd и beralisvc.info. В них используются 27 путей к PHP-эндпоинтам для регистрации, передачи команд, выбора целей, сбора данных и телеметрии. Домены abiorime.cfd и blestorians.cfd связаны с этой инфраструктурой как пассивные узлы, но их не подтвердили как серверы управления и контроля для данного образца.
Загрузчик скрывает ZIP-архив второй стадии с помощью статического преобразования, совместимого с RC4. Для выбранных материалов UI-якорей используется отдельный рабочий процесс на основе RSA-2048 и Android Keystore, а также AES-GCM с ключом длиной 32 байта, nonce длиной 12 байт и тегом длиной 128 бит. Heartbeat передаётся в формате JSON по HTTPS.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
