Банковский троян Rokarolla для Android объединяет поддельные экраны, перехват СМС и удалённое управление телефоном

Заражение начинается с загрузки приложения из стороннего источника. Название на иконке собрано из кириллических и греческих символов с невидимыми вставками между ними. Визуально оно совпадает с привычным, но системный список показывает другую последовательность знаков. Такой приём усложняет поиск вредоносного пакета по названию. Установочный файл подписан действительным сертификатом, однако внутренняя структура архива собрана нестандартно: часть служебных полей противоречит друг другу. Инструменты автоматического разбора на этом спотыкаются, поэтому сбой проверки стоит считать поводом копать глубже, а не поводом закрыть дело. При установке программа запрашивает тридцать три разрешения.

По данным Koodous, запись об этом образце появилась в публичном репозитории второго апреля 2026 года. Дата отмечает момент публикации, а не создания или первой рассылки файла. Основная часть кода спрятана внутри ресурса, который выглядит как файл шрифта, но на самом деле содержит упакованное дополнение. Внешний слой включает девять файлов с байт-кодом, а полезная нагрузка распаковывается уже на телефоне в момент запуска. Преобразование, скрывающее её, строится на простом шифровании с ключом прямо внутри загрузчика. Такой барьер мешает беглому анализу, но не даёт настоящей тайны.

Второй этап содержит более четырёх мегабайт кода и сто тридцать пять команд. Диспетчер команд охватывает почти все сценарии работы с телефоном: снятие снимков экрана, ввод текста, нажатия по найденным подписям, жесты, показ окон поверх чужих приложений, чёрный экран, запрос ПИН-кода или графического ключа, смену яркости и громкости. Отдельные обработчики закрывают работу с сообщениями, звонками и системными настройками. Каждый из ста тридцати пяти обработчиков описан в коде буквальной меткой, то есть набор действий фиксирован заранее. Среди них есть команда, которая очищает внутреннее состояние управляющего модуля, и её легко принять за сброс телефона к заводским настройкам. Ничего подобного она не делает.

Главный инструмент наблюдения - служба специальных возможностей, предназначенная для людей с ограничениями по зрению. С её помощью программа читает содержимое экрана, находит нужные кнопки и нажимает по ним. Ещё один модуль слушает системные уведомления и умеет отменять отдельные из них. Приходят и перехватываются СМС, включая служебные, а также сообщения о доставке мультимедиа. Фильтрация звонков позволяет прервать разговор или не дать ему состояться. Распознавание текста вынесено на сервер: телефон делает снимок экрана, отправляет его на обработку и получает координаты нужной надписи. Затем по этим координатам выполняется нажатие. Отдельная ветка настроена на поиск кнопки отмены в диалоговых окнах.

Список интересующих банков и содержимое поддельных окон приходят с сервера в процессе работы. Поэтому злоумышленники меняют набор целей и тексты, не пересобирая приложение. Регулярный сигнал активности сообщает на сервер заряд батареи, тип сети и состояние дисплея, а в ответ приходит очередная команда. Наблюдение, обман и взаимодействие с жертвой сосредоточены на самом телефоне, где они работают поверх легитимного приложения и его каналов подтверждения.

Инфраструктура тоже выстроена с запасом. В код встроены два домена, ещё два связаны с ними через реестровые записи и журналы выдачи сертификатов. Пары имён регистрировали с разницей в десятки секунд, сертификаты выпускали подряд, а адреса со временем менялись. Логика переключения умеет собирать новое имя из текущего времени и настраиваемого префикса, если основные адреса перестают отвечать. Из этого следует, что список известных доменов заведомо неполон, и опираться только на него нельзя.

Для банковской безопасности важнее другое. Защита счёта распределена между экраном приложения, уведомлениями, текстовыми сообщениями, подтверждением по биометрии и защищённым контекстом самого приложения. Когда всё это оказывается на одном заражённом телефоне, независимость второго фактора исчезает. Клиент может получить код, а злоумышленник прочитает его первым и скроет уведомление или сообщение от владельца. При этом речь идёт о риске компрометации устройства, а не о доказанном обходе любого способа многофакторной проверки. Успешная атака приводит к краже учётных данных, хищению средств и захвату учётных записей в других сервисах.

Порядок действий при подозрении на заражение начинается с сохранения устройства для разбора по согласованной процедуре. До этого стоит отключить телефон от сети, но не перезагружать и не удалять приложения. Затем с заведомо чистого устройства нужно сменить пароли к банковским и почтовым сервисам, отозвать активные сессии и платёжные токены, перевыпустить факторы восстановления. Владельцу телефона следует проверить список разрешений и включённых служб специальных возможностей, а также права на чтение сообщений и прослушивание уведомлений. Компаниям полезно сверить корпоративные сборы приложений с описанием этого образца и посмотреть историю обращений к известным управляющим адресам. Блокировку конкретных сетевых адресов стоит ограничивать по времени, поскольку инфраструктура быстро переезжает. Приоритет получают новые доменные имена, которые появляются у устройства с похожим набором разрешений и служб, даже если ни один из ранее известных адресов не используется. Наблюдение за сочетанием признаков даёт больше, чем проверка каждого разрешения по отдельности.