Uma nova e perigosa ameaça informática está a visar os utilizadores do sistema operativo da Google. O malware, batizado de Rokarolla, é um trojan bancário concebido especificamente para infetar dispositivos Android e comprometer a segurança de 217 aplicações financeiras, incluindo plataformas de moedas digitais. A descoberta foi avançada num relatório da empresa de segurança móvel Zimperium, que detalha o funcionamento deste esquema desenhado para assumir o controlo administrativo total dos telemóveis afetados.
O Rokarolla propaga-se através de páginas da internet maliciosas que imitam plataformas legítimas. Nestes sites, os utilizadores são levados a descarregar falsas atualizações do Google Chrome ou da aplicação TikTok. Durante a instalação, a aplicação fraudulenta atua como um descarregador (dropper) e disfarça-se de Google Play Protect — a proteção oficial do ecossistema Android — oferecendo a instalação dos referidos programas legítimos, mas que já trazem o código nocivo embutido.
Permissões abusivas e roubo de dados financeiros
Assim que é executado no smartphone, o malware solicita acesso imediato aos Serviços de Acessibilidade do Android, além de permissões para ler notificações, mensagens SMS e gerir chamadas. De acordo com a investigação técnica, o primeiro passo do Rokarolla após a infeção consiste em enviar um perfil básico do telemóvel para o servidor de comando e controlo. Este pacote inclui dados como o modelo do aparelho, a versão do sistema, o idioma, o nível da bateria, a capacidade de armazenamento e a memória RAM disponível, gerando um identificador único para cada vítima.
Com as permissões de acessibilidade ativas, o vírus verifica se o utilizador possui alguma das 217 aplicações bancárias visadas instaladas. Caso encontre uma correspondência, transfere páginas de phishing específicas para essa entidade. Quando a vítima tenta abrir a sua aplicação do banco, o Rokarolla sobrepõe um ecrã falso de início de sessão (overlay), capturando diretamente as credenciais de acesso, números de cartões de crédito e outras informações financeiras sensíveis.
Controlo administrativo total e técnicas de evasão
O uso de janelas sobrepostas vai muito além do roubo de dados de acesso. Os atacantes recorrem a esta técnica para registar o PIN ou padrão do ecrã de bloqueio, conseguindo interagir com o telemóvel mesmo quando este se encontra bloqueado. Estas sobreposições servem ainda para ocultar as atividades em segundo plano e impedir que o utilizador interfira com o sistema, exibindo ecrãs falsos de instalação de atualizações.
Para garantir que o ataque não é interrompido, o trojan desativa as defesas do Google Play Protect, esconde o seu próprio ícone do menu de aplicações, silencia sons e vibrações e força o ecrã a manter-se sempre ligado. Através de uma lista com 137 comandos disponíveis, os operadores do malware conseguem realizar as seguintes ações:
Descarregar e extrair mensagens SMS e listas de contactos (incluindo dados do WhatsApp);
Ativar um registador de teclas (keylogger) para gravar tudo o que é digitado no ecrã;
Monitorizar o conteúdo da interface do utilizador e manipular a área de transferência;
Bloquear chamadas de voz recebidas e alertas de fraude emitidos pelos bancos;
Capturar capturas de ecrã periódicas e enviá-las com marcas temporais para os servidores.
A equipa da Zimperium sublinha que o vírus não foi detetado na loja oficial Google Play. A principal recomendação para os utilizadores passa por evitar a instalação de ficheiros APK obtidos fora das plataformas oficiais e rejeitar de forma categórica pedidos de permissão para os Serviços de Acessibilidade vindos de aplicações desconhecidas, uma vez que este privilégio permite contornar as barreiras de segurança nativas do Android.
Nenhum comentário
Seja o primeiro!