Rokarolla o Troia Android que toma controle total do telefone usando permissões de acessibilidade

Zimperium zLabs descreveu um novo troiano bancário para Android, batizado como Rokarolla, que exemplifica a tendência mais preocupante do cibercrime móvel em 2026: uso intensivo de permissões de acessibilidade, superposições HTML e múltiplos vetores de persistência para obter um controle quase total do telefone. De acordo com o relatório, Rokarolla aponta para 217 aplicativos financeiros e de criptomoedas e expõe até 137 comandos remotos que permitem desde levantar o PIN de bloqueio até reescrever a área de transferência para desviar pagamentos cripto, ler e enviar SMS, e desativar o Google Play Protect.

A sofisticação não está tanto em uma técnica nova como na combinação e orquestração de várias já vistas. O malware se propaga por sites maliciosos que impessoam apps conhecidos e começa com um dropper que finge ser Google Play Protect para solicitar acesso à Acessibilidade. Com essa permissão pode instalar a carga útil, desativar o Play Protect, colocar superposições HTML que suplantam telas de início de sessão de bancos e wallets, capturar PINs através de uma falsa tela de bloqueio e tirar capturas silenciosas por Accessibility em vez de usar o MediaProjection, evitando o aviso visível ao usuário.

O resultado prático é assustador: um operador remoto pode ver e registrar o que o usuário escreve e vê, interceptar códigos SMS de um único uso, bloquear chamadas entrantes de bancos, suplantar telas para roubar credenciais e redireccionar transferências cripto manipulando a área de transferência. Além disso, Rokarolla incorpora múltiplos domínios de comando e controle e mecanismos de fallback, o que o torna resistente à simples retirada de um servidor malicioso.

Para o usuário meio isso significa que as recomendações habituais – como confiar no Play Protect – já não bastam por si só, porque o próprio malware falsifica essa defesa e a apaga. A recomendação-chave é tratar qualquer pedido de autorização de Acessibilidade com desconfiança extrema. Além disso, instalar aplicativos somente do Google Play é uma barreira que ainda é útil; evita a prática de “sideloading” e lojas ou APKs desconhecidos que costumam ser a porta de entrada dessas famílias de malware. A página do Google sobre Play Protect oferece orientação oficial que convém rever: https://support.google.com/googleplay/answer/2812853?hl=en.

Se você suspeitar que seu dispositivo está comprometido, age em breve: verifique em Ajustes que aplicativos têm permissão de Acessibilidade e revoga qualquer aplicativo que não reconheça, verifique qual é a app padrão para SMS e chamadas e restaura a configuração se você tiver sido mudada, remove apps instalados fora da loja oficial e, em casos graves ou persistentes, considera um restabelecimento da fábrica após fazer backup de dados críticos. Muda senhas e notifica o seu banco se houver atividade incomum. Para indicadores técnicos e YARA/IOCs, Zimperium publicou detalhes em seu espaço de pesquisa e no GitHub, que é uma referência útil para equipes de resposta e operadores de segurança: https://www.zimperium.com/blog/ e https://github.com/zimperium.

Os proprietários de criptomoedas estão especialmente expostos: a manipulação silenciosa da área de transferência e as superposições que simulam wallets fazem que uma simples cópia/pega deixe de ser segura. Sempre que possível, utiliza dispositivos ou ambientes separados para operações de alto valor, emprega autenticação com hardware (FIDO2 ou chaves físicas) e evita depender exclusivamente do SMS para autenticação. Para se informar sobre autenticação forte e alternativas ao SMS, consulte recursos do ecossistema de autenticação como FIDO: https://fidoalliance.org/.

As organizações devem tomar isto como um lembrete: a superfície de ataque móvel exige controles de endpoint móvel (MDM/EMM) com políticas que proíbam a instalação fora de lojas oficiais, detecção de abuso de licenças de acessibilidade e soluções de Mobile Threat Defense que identifiquem comportamentos anormais como mudanças na app de SMS ou capturas de tela silenciosas. Formação contínua para funcionários sobre engenharia social móvel e simulações específicas de phishing para dispositivos móveis ajudam a reduzir o risco inicial de infecção. Se você trabalha em segurança, integra os indicadores de Rokarolla em seus sistemas de detecção e compartilha achados com a comunidade e com as entidades reguladoras ou policiais pertinentes para acelerar a resposta.

Rokarolla não é uma vulnerabilidade que adesivo; é um negócio criminoso que explora a interação humana e as permissões do sistema. A defesa é multidimensional: prevenção de instalação, controle e revisão de permissões, autenticação resistente e detecção ativa. A combinação de boas práticas do usuário, ferramentas de segurança móveis e políticas organizacionais ainda é a melhor maneira de mitigar os danos às famílias de malware cada vez mais desenhadas para vencer as proteções recomendadas.