Onderzoekers hebben een nieuwe Android met de naam Rokarolla geanalyseerd. Deze kan een apparaat volledig overnemen, inloggegevens voor bank- en crypto-apps uit meer dan 200 apps stelen en onopgemerkt een groot deel van je activiteiten op je telefoon volgen.
Op een geïnfecteerd apparaat steelt Rokarolla inloggegevens voor internetbankieren en cryptovaluta. Daarnaast maakt het gebruik van valse overlays op het vergrendelingsscherm om je pincode, patroon of wachtwoord te achterhalen.
Wanneer je een van de bank- of crypto-apps op de doellijst van Rokarolla opent, wordt de malware gedownload en verschijnt er een bijbehorende valse inlogpagina over de echte app heen. Alles wat je op de valse pagina invoert, zoals gebruikersnamen, wachtwoorden en kaartnummers, wordt naar de aanvallers gestuurd.
Daarnaast maakt Rokarolla misbruik van de toegankelijkheidsfuncties Androidom de activiteit op het apparaat te volgen. Het kan WhatsApp-schermen herkennen door te zoeken naar bekende labels zoals „Chats“ en „Calls“, contactgegevens extraheren, sms-berichten lezen en nieuwe berichten versturen. Deze mogelijkheden stellen het in staat om eenmalige wachtwoorden (OTP’s) en codes voor tweefactorauthenticatie (2FA) te onderscheppen.
Rokarolla kan sms-berichten en telefoongesprekken overnemen, waardoor het beveiligingswaarschuwingen kan blokkeren en tekenen van fraude kan verbergen.
Het kan ook alles vastleggen wat je typt en op het scherm ziet. Als je het adres van een cryptovaluta-portemonnee kopieert en plakt, kan de malware dit stiekem vervangen door een adres dat aan de aanvallers toebehoort.
Andere functies helpen de malware verborgen te blijven, waaronder de mogelijkheid om het pictogram te verbergen, het apparaat stil te zetten, Google Play Protect uit te schakelen en te voorkomen dat het scherm in de slaapstand gaat.
Hoe het zich verspreidt
Rokarolla wordt verspreid via malafide websites, waar het wordt aangeboden als nepversies van populaire apps zoals TikTok of Chrome.
In plaats van je door te sturen naar de officiële Google Play Store, dwingen deze kwaadaardige websites je om de app rechtstreeks te downloaden, een proces dat ‘sideloading’ wordt genoemd. Nadat je de app hebt geïnstalleerd, doet de valse app zich voor als Google Play Protect en downloadt en installeert hij stiekem de malware die de aanval uitvoert.
Om de benodigde toegang te verkrijgen, vraagt de valse app om vergaande machtigingen, waaronder toegang tot de toegankelijkheidsfuncties, de machtiging om sms-berichten te lezen en toegang tot meldingen. Omdat deze verzoeken legitiem kunnen lijken, keuren veel gebruikers ze mogelijk goed zonder zich bewust te zijn van de risico’s.
Hoe blijf ik veilig
Om banktrojanen zoals Rokarolla te vermijden, zijn er een paar richtlijnen die je in acht moet nemen:
- Vertrouw geen apps die beweren Google Play Protect of een ander systeemonderdeel te zijn. Je hoeft deze nooit handmatig te installeren.
- Zorg ervoor dat uw apparaten zijn uitgerust met actuele, realtime bescherming tegen malware, inclusief webbeveiliging.
- Installeer geen apps via sideloading die ook in de Google Play Store beschikbaar zijn. Hoewel er soms malware in officiële winkels terechtkomt, is het risico elders veel groter.
- Weiger uitgebreide machtigingen aan apps die via links of websites zijn gedownload, vooral als ze toegang tot de toegankelijkheidsfuncties, sms-machtigingen of de mogelijkheid om gesprekken af te handelen vragen, ook al strookt dat niet met het opgegeven doel van de app.
- Elk verzoek om toegang via de toegankelijkheidsfunctie moet in feite met de nodige voorzichtigheid worden behandeld. Als een app die niet duidelijk een hulpmiddel voor toegankelijkheid is, hierom vraagt, wijs het verzoek dan af en overweeg nogmaals of je de bron vertrouwt.
- Bekijk de inlogschermen van banken en cryptodiensten goed. Als er iets niet klopt, of als je meerdere inlogverzoeken ziet, sluit de app dan en start deze opnieuw op via het officiële pictogram.
Oplichters weten meer over je dan je denkt.
Malwarebytes Mobile Security je tegen phishing, oplichtings-sms’jes, schadelijke websites en nog veel meer. Met de ingebouwde, door AI aangestuurde Scam Guard die in realtime werkt.
