Rokarollaが偽のGoogle Play Protectアプリを悪用してバンキングおよび暗号資産ユーザーを標的に

Rokarollaは、TikTokやGoogle Chrome、さらにはGoogle Play Protectなどの信頼されたアプリケーションに偽装した悪意あるWebサイトを通じて配布される、高度なAndroidバンキング型トロイの木馬です。

単純な認証情報窃取ツールとは異なり、Rokarollaは多機能な不正詐欺プラットフォームです。少なくとも217種類のバンキングおよび暗号資産アプリを標的とし、アクセシビリティサービスの悪用、フィッシングオーバーレイ、SMS傍受、キーロギング、スクリーンショット監視、通話操作を組み合わせることで、感染デバイスをほぼ完全に掌握します。

初期感染はソーシャルエンジニアリングによるサイドローディングに依存しています。被害者は偽のダウンロードポータルへ誘導され、そこでドロッパーがGoogle Play Protectに偽装した第二段階のペイロードをインストールして、ユーザーの警戒心を和らげます。

インストール後、RokarollaはアクセシビリティサービスのパーミッションをはじめSMS、通知、その他の機密性の高い機能へのアクセスを積極的に要求します。これらのパーミッションが、ユーザーインターフェースの解析、操作の自動化、HTMLベースのオーバーレイ表示、認証情報の収集といったコア機能を実現する足がかりとなります。

このトロイの木馬はHTTPS経由で持続的かつ耐障害性の高いC2通信を維持し、ハードウェア情報・Androidバージョン・ローカライゼーション・バッテリー・ストレージといった広範なデバイステレメトリを収集して、デバイス固有のプロファイルを生成します。

研究者は、リモートによる動的な設定変更機能と複数のフォールバックC2ドメインを観測しており、攻撃者はターゲットリスト、フィッシングリソース、運用パラメータをリアルタイムで更新できることが確認されています。

主要な認証情報窃取は、オーバーレイベースのフィッシングによって実行されます。対象のバンキングアプリや暗号資産アプリが起動すると、Rokarollaは正規インターフェースとほぼ見分けがつかない偽のHTMLログインダイアログを表示することができます。

PolyswarmがGBhackersと共有したレポートによると、Rokarollaは少なくとも137種類のオペレーターコマンドを提供しており、監視や認証情報の窃取からデバイス管理や詐欺行為の支援まで、きめ細かいリモート操作を可能にしています。

これらのオーバーレイにユーザー名、パスワード、支払い情報を入力したユーザーのデータは、攻撃者のインフラへ直接送信されます。

偽のGoogle Play Protectを悪用するRokarolla

このマルウェアはロック画面オーバーレイも展開し、デバイスのロック解除に使用するPIN、パスワード、パターンなどの認証情報を収集することで、攻撃者のアクセス手段をさらに広げます。

通信の傍受機能は広範に及びます。RokarollaはSMSメッセージを窃取し、デバイスからメッセージを送信し、SMS経由で届くワンタイムパスコードをキャプチャすることができます。

また、電話の着信をブロックまたは傍受することも可能であり、本来であれば被害者への警告や攻撃者の活動妨害につながるはずの不正検知アラートや本人確認電話を無効化できます。

クリップボード操作機能も確認されており、暗号資産アドレスやコピーされた値を置き換えることで、送金先を不正に変更することができます。

監視機能としては、キーロギング、UIログ記録、画面上のテキスト抽出、WhatsApp連絡先の収集、スクリーンショットの取得、定期的なスナップショットベースの画面モニタリングが挙げられます。

映像をストリーミング配信する代わりに、マルウェアはタイムスタンプ付きのPNGスクリーンショットを圧縮して送信します。これはリソースを節約しつつ検知リスクを低減する、効率的なユーザー活動監視手法です。

回避・持続化のテクニックも多岐にわたります。Google Play Protectの無効化、アプリアイコンの非表示、音声および振動通知の抑制、ディスプレイの常時点灯維持、欺瞞的なオーバーレイによるユーザー操作の妨害などが確認されています。これらの動作により、発見・中断される可能性が低くなります。

Rokarollaは、AndroidバンキングマルウェアがいかにフルスケールのFraud-as-a-Platformへと進化しているかを端的に示しています。モジュール式の設計、動的な設定変更機能、広範なコマンド群により、高い適応性と耐障害性を備えています。

防御側は、不審なAndroidアクセシビリティサービスの使用、不審なオーバーレイ活動、SMSハンドラーの変更、予期しない通話制御パーミッション、サイドローディングの痕跡に対するテレメトリと検知ルールの整備を優先すべきです。

ZimperiumによるアナリシスやPolySwarmなどのコミュニティプラットフォームといった脅威インテリジェンスのソースは、検知と対応を加速するための実用的なIOCセットと行動指標を提供しています。

ユーザーはサイドローディングを避け、Google Playでアプリのソースを確認し、Play Protectを有効にし、アクセシビリティのパーミッションは信頼できるアプリケーションのみに限定してください。

組織は、異常なアクセシビリティ権限の付与やSMS・通話管理の権限変更を監視し、この新興脅威によるリスクを低減させることが重要です。

IOC情報

注意： IPアドレスおよびドメインは、意図せず名前解決やハイパーリンクが発生しないよう、意図的に無害化（デファング）されています（例：[.]）。再ファング化は、MISP、VirusTotal、SIEMなどの管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。