Фахівці компанії Zimperium повідомили про виявлення небезпечного Android‑трояна під назвою Rokarolla, який здатний викрадати облікові дані та іншу конфіденційну інформацію з понад 200 додатків для банківських операцій та криптовалют. Про це пише BleepingComputer.

Зловмисники поширюють Rokarolla через підроблені сайти, сторонні магазини додатків та соціальні мережі. У Google Play Store чи інших офіційних репозиторіях його не зафіксовано. Шкідливі ресурси рекламують нібито додатки Google Chrome та TikTok, але користувачі отримують спершу дропер, замаскований під Google Play Protect, який згодом пропонує завантажити версії Chrome чи TikTok із вбудованим трояном.

Після інсталяції Rokarolla вимагає розширені дозволи, зокрема доступ до служби спеціальних можливостей, SMS, дзвінків та сповіщень. Якщо користувач надає ці права, програма сканує пристрій на наявність підтримуваних банківських чи криптододатків. Загалом вразливими виявилися 217 програм. При відкритті цих застосунків троян накладає невидимі екрани‑накладки, щоб перехоплювати логіни, паролі, PIN‑коди та графічні ключі.

Для приховування діяльності Rokarolla застосовує низку прийомів: показує фальшиві екрани інсталяції, приховує іконку з меню, вимикає звук та вібрацію, утримує екран активним. Крім того, він здатний збирати контакти, у тому числі з WhatsApp, фіксувати натискання клавіш, записувати екран, блокувати вхідні дзвінки та робити скріншоти.

Зазвичай подібні трояни орієнтуються на конкретні регіони та мовні налаштування, однак у випадку Rokarolla дослідники не уточнили, які саме країни перебувають під найбільшим ризиком і скільки людей вже постраждали.

Експерти наголошують, що користувачі, які завантажують програми лише з офіційних джерел - Google Play Store чи Galaxy Store, - не піддаються загрозі зараження цим трояном.