Rokarolla: o troiano bancário para Android que opera com 137 comandos e rouba credenciais mediante overlays após suplantar Google Play Protect

Um novo troiano bancário para Android, batizado como Rokarolla, volta a demonstrar que a linha entre uma app legítima e um risco crítico para a segurança financeira pode ser removida em segundos quando um usuário instala software de fontes não verificadas. Pesquisadores móveis descreveram uma campanha em que a ameaça é distribuída através de sites maliciosos que fingem oferecer apps populares como Google Chrome ou TikTok; na verdade atuam como droppers que suplantam o Google Play Protect e depois instalam o malware real.

Além do vetor inicial, Rokarolla destaca por sua complexidade operacional: opera com um conjunto de 137 comandos e verifica a presença de até 217 aplicativos bancários e criptomoedas Para baixar modelos específicos de phishing. Quando o usuário abre uma app-alvo, o Troia pode superpor uma tela falsa (overlay) para capturar credenciais, informações de cartões e códigos de autenticação, e também emprega overlays para ler ou capturar o PIN/padrão de desbloqueio do dispositivo.

O uso da API de Acessibilidade como porta de entrada a privilégios elevados é central neste ataque. Rokarolla pede permissões de Acessibilidade, notificações, SMS e chamadas, e uma vez concedidos obtém a capacidade de registrar teclas, ler e manipular a área de transferência, tirar capturas de tela periódicas com selo temporário, interceptar e bloquear chamadas recebidas (incluindo alertas bancários por voz ou SMS) e manter o dispositivo num estado em que o usuário não suspeite.

Além da evasão técnica — como desativar o Google Play Protect, esconder o ícone da app, silenciar áudio e manter o ecrã ligado — Rokarolla envia ao servidor de comando e controle (C2) um perfil do dispositivo (modelo, versão Android, bateria, armazenamento, memória, localização) para gerar um identificador único por vítima e adaptar seu comportamento, o que facilita campanhas direcionadas e persistentes.

As implicações práticas são graves: com acesso a SMS, notificações, chamadas e capacidade de superpor interfaces, os operadores podem interceptar códigos SMS de duplo fator, bloquear notificações das entidades bancárias e apresentar telas que semulem exatamente o processo de login ou aprovação de transações. Isto reduz drasticamente a eficácia de protecções baseadas em SMS ou em simples confirmações em tela.

Para usuários particulares, a primeira regra de defesa é clara: evitar instalar APKs fora do Google Play a menos que a fonte seja absolutamente confiável. O Google Play não é infalível, mas é um filtro inicial; o risco aumenta consideravelmente com sites e links externos que prometem apps populares em versões “não oficiais”. Você pode revisar informações sobre Play Protect em a documentação do Google Play Protect.

Se suspeitar que o seu telefone pode estar comprometido, verifique imediatamente as configurações de Acessibilidade e as aplicações com permissões de administrador, e revoque qualquer autorização suspeita. Se uma aplicação se recusar a desinstalar ou persistir em comportamentos estranhos (notificação faltante, tela que mostra instalações fantasma, mudanças na área de transferência), o prudente é isolar o dispositivo e considerar um backup seguro seguido de um restabelecimento da fábrica. Os centros de resposta e guias oficiais oferecem recomendações práticas sobre segurança móvel; veja, por exemplo, as recomendações do governo dos EUA. EUA CISA.

No âmbito corporativo e para usuários com contas sensíveis, é conveniente migrar os mecanismos de autenticação para fatores que não dependem de SMS (apps de autenticação, chaves hardware), ativar alertas por email e notificações fora do telefone quando possível, e aplicar políticas de bloqueio de instalação de apps desde origens desconhecidas. As organizações devem reforçar os seus controlos MDM/EMM, restringir as permissões de Acessibilidade e monitorar sinais de exfiltração ou comportamentos anormais em endpoints móveis.

Os especialistas em segurança podem aprofundar o conjunto de comandos e indicadores de compromisso publicados pelos pesquisadores; por exemplo, há um repositório com os 137 comandos analisados que permite identificar sinais técnicos e criar regras de detecção: GitHub — Zimperium: comandos de Rokarolla. Implementar regras EDR/Mobile-EDR que detectem pedidos invulgares de permissões de Acessibilidade, atividade de overlays e ligações a C2 é fundamental para parar campanhas semelhantes.

Finalmente, manter o sistema operacional atualizado, usar soluções de segurança móveis de fornecedores reconhecidos e desconfiar de pedidos urgentes para conceder permissões ou instalar aplicativos que “corrigem” problemas do telefone são medidas simples que reduzem significativamente o risco. Num cenário onde os atacantes podem controlar quase completamente um dispositivo através de técnicas relativamente conhecidas, a prevenção e a resposta rápida continuam a ser a defesa mais eficaz.