Ver el código de «Troyano Bancario Rokarolla: Malware Android Ataca 217 Apps de Banca y Criptomonedas con Control Remoto Total (2026)»

== Nombres Alternativos / Aliases ==

* Rokarolla (Por la infraestructura C2)
* Android Banking Trojan (Troyano bancario para Android)
* Fake Play Protect Malware (Por el mecanismo de distribución)
* Accessibility Service Abuser (Por el abuso de accesibilidad)
* Overlay Phishing Trojan (Por la técnica de superposición)

----

== Fecha de Detección / Actividad ==
{| class="wikitable"
!Fecha
!Evento
|-
|Junio 2026
|Publicación del informe de Zimperium sobre Rokarolla
|-
|Estado actual
|Activa (en distribución activa)
|}
----

== Resumen Ejecutivo ==
Rokarolla es un troyano bancario para Android recientemente descubierto por investigadores de Zimperium. El malware, cuyo nombre proviene de su infraestructura de comando y control (C2), ataca 217 aplicaciones bancarias y de criptomonedas y puede ejecutar 137 comandos en los dispositivos infectados.

=== Descubrimientos clave ===
{| class="wikitable"
!Descubrimiento
!Detalle
|-
|Aplicaciones objetivo
|217 (bancarias y de criptomonedas)
|-
|Comandos remotos
|137
|-
|Vector de distribución
|Sitios web maliciosos suplantando TikTok, Google Chrome y otras apps populares
|-
|Mecanismo principal
|Abuso de Servicios de Accesibilidad de Android
|-
|Técnica de robo
|Superposiciones de phishing (overlays) + keylogging + capturas de pantalla
|-
|Objetivo final
|Robo de credenciales bancarias, información de tarjetas de crédito, OTPs y criptomonedas
|}

=== Capacidades principales del malware ===
{| class="wikitable"
!Capacidad
!Descripción
|-
|Robo de credenciales
|Captura de credenciales de pantalla de bloqueo, keylogging
|-
|Robo de datos
|Extracción de contactos, SMS, portapapeles
|-
|Superposiciones de phishing
|Páginas falsas sobre apps legítimas para robar datos financieros
|-
|Captura de pantalla
|Capturas periódicas del dispositivo
|-
|Intercepción de SMS
|Lectura y envío de SMS (robo de OTPs bancarias)
|-
|Bloqueo de llamadas
|Intercepción de llamadas entrantes (evita alertas de fraude)
|-
|Silencio del dispositivo
|Silencia audio y vibraciones para operar oculto
|-
|Desactivación de Play Protect
|Deshabilita el servicio de seguridad de Google
|}
----

== Vector de Ataque / Métodos de Distribución ==

=== Distribución inicial ===
{| class="wikitable"
!Método
!Descripción
|-
|Sitios web maliciosos
|Suplantan aplicaciones populares como TikTok y Google Chrome
|-
|Ingeniería social
|Engañan a los usuarios para que descarguen lo que parece una app legítima
|-
|Fuera de Google Play
|Distribución a través de APK sideloading (no desde la tienda oficial)
|}

=== Cadena de infección ===
{| class="wikitable"
!Fase
!Descripción
|-
|1. Descarga
|Usuario descarga APK desde sitio malicioso (suplantando TikTok/Chrome)
|-
|2. Instalación
|Usuario instala manualmente la aplicación (sideloading)
|-
|3. Primera etapa
|La app se hace pasar por Google Play Protect (servicio de seguridad legítimo)
|-
|4. Segunda etapa
|Descarga la carga útil de Rokarolla (payload principal)
|-
|5. Solicitud de permisos
|El malware solicita:
|}

* Servicios de Accesibilidad
* Permisos de notificaciones
* Permisos de SMS |  | 6. Activación | Rokarolla se ejecuta en segundo plano con control total |

----

== Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK ==
{| class="wikitable"
!Táctica (MITRE ATT&CK)
!Técnica / Subtécnica
!Descripción / Implementación
|-
|Initial Access (TA0001)
|Phishing (T1566)
|Distribución a través de sitios maliciosos suplantando apps populares
|-
|Execution (TA0002)
|User Execution (T1204)
|Usuario instala manualmente el APK malicioso
|-
|Persistence (TA0003)
|Boot or Logon Autostart Execution (T1547)
|Inicio automático del malware en el dispositivo
|-
|Privilege Escalation (TA0004)
|Abuse of Accessibility Services
|Abuso de Servicios de Accesibilidad de Android
|-
|Defense Evasion (TA0005)
|Masquerading (T1036)
|Suplantación de Google Play Protect
|-
|Defense Evasion (TA0005)
|Impair Defenses (T1562)
|Desactivación de Google Play Protect
|-
|Credential Access (TA0006)
|Credentials from Password Stores (T1555)
|Keylogging, superposiciones de phishing
|-
|Credential Access (TA0006)
|Unsecured Credentials (T1552)
|Robo de credenciales de pantalla de bloqueo
|-
|Collection (TA0009)
|Data from Local System (T1005)
|Extracción de contactos, SMS, portapapeles
|-
|Collection (TA0009)
|Screen Capture (T1113)
|Capturas de pantalla periódicas
|-
|Collection (TA0009)
|Input Capture: Keylogging (T1056.001)
|Registro de pulsaciones de teclas
|-
|Command and Control (TA0011)
|Web Protocols (T1071.001)
|Comunicación HTTPS con C2
|-
|Command and Control (TA0011)
|Dynamic Resolution (T1568)
|Cambio a dominios C2 alternativos mediante configuración remota
|-
|Exfiltration (TA0010)
|Exfiltration Over Web Service (T1567)
|Envío de datos robados al C2
|-
|Impact (TA0040)
|Data Manipulation (T1565)
|Modificación del portapapeles (sustitución de direcciones de criptomonedas)
|}
----

== Flujo de Ataque (Cyber Kill Chain) ==
{| class="wikitable"
!Fase
!Descripción
|-
|1. Reconocimiento
|Identificación de usuarios de Android que buscan apps populares fuera de Google Play
|-
|2. Armamento
|Creación de APK malicioso que suplanta Google Play Protect
|-
|3. Entrega
|Sitios web maliciosos que ofrecen descargas de TikTok/Chrome falsos
|-
|4. Explotación
|Usuario descarga e instala el APK malicioso
|-
|5. Instalación
| - El dropper instala la carga útil de Rokarolla
- Solicita permisos de accesibilidad, SMS, notificaciones
|-
|6. Comando y Control
|Comunicación con servidor C2 (envío de datos, recepción de comandos)
|-
|7. Acción sobre Objetivos
| - Superposiciones de phishing sobre apps bancarias/cripto
- Keylogging
- Captura de pantalla
- Robo de SMS/OTP
- Modificación del portapapeles
- Bloqueo de llamadas
- Silencio del dispositivo
|}
----

== Infraestructura Utilizada ==

=== Comando y Control (C2) ===
{| class="wikitable"
!Característica
!Descripción
|-
|Protocolo
|HTTPS
|-
|Datos enviados
|Detalles del dispositivo, versión Android, configuración regional, estado de batería, almacenamiento disponible
|-
|Identificador
|ID de bot único por dispositivo
|-
|Dominios alternativos
|Puede cambiar mediante configuración remota
|-
|Número de comandos
|137
|}

=== Aplicaciones objetivo (217) ===
El malware busca específicamente 217 aplicaciones bancarias y de criptomonedas en el dispositivo infectado. Cuando detecta una aplicación de la lista, descarga una página de phishing que se muestra como superposición al abrir la app legítima.

=== Técnica de superposición (Overlay Phishing) ===
{| class="wikitable"
!Fase
!Descripción
|-
|Detección
|Rokarolla detecta que el usuario abre una app bancaria/cripto objetivo
|-
|Descarga
|Descarga una página de phishing desde el C2
|-
|Superposición
|Muestra un overlay falso sobre la app legítima
|-
|Captura
|El usuario introduce credenciales, datos de tarjeta, etc. en el formulario falso
|-
|Robo
|Los datos son enviados a los atacantes
|}
----

== Detalle Técnico de Capacidades (137 Comandos) ==

=== Capacidades de robo de credenciales ===
{| class="wikitable"
!Capacidad
!Descripción
|-
|Captura de credenciales de pantalla de bloqueo
|Roba el PIN/patrón/contraseña de desbloqueo del dispositivo
|-
|Keylogging
|Registra todas las pulsaciones de teclas del usuario
|-
|Superposiciones de phishing
|Páginas falsas para apps objetivo (captura de credenciales bancarias)
|}

=== Capacidades de robo de datos ===
{| class="wikitable"
!Capacidad
!Descripción
|-
|Extracción de contactos
|Lista de contactos del dispositivo
|-
|Extracción de SMS
|Todos los mensajes SMS (incluyendo OTPs bancarias)
|-
|Envío de SMS
|El malware puede enviar SMS en nombre de la víctima
|-
|Captura de portapapeles
|Modificación del contenido del portapapeles
|-
|Capturas de pantalla
|Captura periódica de la pantalla del dispositivo
|}

=== Capacidades de evasión y ocultación ===
{| class="wikitable"
!Capacidad
!Descripción
|-
|Desactivación de Google Play Protect
|Deshabilita el servicio de seguridad de Google
|-
|Bloqueo de llamadas
|Intercepta y bloquea llamadas entrantes
|-
|Silencio del dispositivo
|Silencia audio y vibraciones
|-
|Ocultación de operaciones
|Funciona en segundo plano sin notificaciones visibles
|}

=== Capacidades de manipulación de OTP ===
El malware puede interceptar códigos OTP (One-Time Passwords) enviados por SMS:

# Lee los SMS entrantes
# Extrae los códigos OTP bancarios
# Los envía a los atacantes
# Puede incluso enviar SMS en nombre de la víctima para confirmar transacciones fraudulentas

=== Manipulación de portapapeles (criptomonedas) ===
El malware puede modificar el contenido del portapapeles sin interacción del usuario, permitiendo:

* Reemplazar direcciones de monederos de criptomonedas copiadas
* Cuando el usuario pega una dirección, en realidad está pegando la dirección del atacante
* Robo de criptomonedas sin que el usuario lo note

----

== Víctimas y Sectores Afectados ==
{| class="wikitable"
!Categoría
!Datos
|-
|Sector principal
|Usuarios de banca móvil y criptomonedas
|-
|Aplicaciones objetivo
|217 apps bancarias y de criptomonedas
|-
|Usuarios afectados
|Usuarios de Android que descargan apps fuera de Google Play
|-
|Distribución geográfica
|Global
|-
|Señuelos principales
|TikTok falso, Google Chrome falso
|}
----

== Impacto y Riesgo ==
{| class="wikitable"
!Categoría
!Nivel
!Descripción
|-
|Alcance
|ALTO
|217 apps bancarias/cripto afectadas
|-
|Control remoto
|MUY ALTO
|137 comandos disponibles para operadores
|-
|Evasión
|ALTA
|Desactivación de Play Protect, ocultación de operaciones
|-
|Impacto financiero
|MUY ALTO
|Robo de credenciales bancarias, OTPs, criptomonedas
|-
|Impacto en dispositivos
|ALTO
|Control total del dispositivo infectado
|}

=== Consecuencias para la víctima ===
{| class="wikitable"
!Consecuencia
!Gravedad
!Detalle
|-
|Robo de cuentas bancarias
|Crítica
|Credenciales bancarias + OTPs interceptados
|-
|Robo de criptomonedas
|Crítica
|Sustitución de direcciones en portapapeles
|-
|Robo de identidad
|Alta
|Datos personales, contactos, SMS
|-
|Control remoto del dispositivo
|Alta
|Ejecución de 137 comandos remotos
|-
|Fraude con SMS
|Alta
|Envío de SMS fraudulentos desde el dispositivo
|}
----

== Detección y Respuesta ==

=== Recomendaciones para usuarios ===
{| class="wikitable"
!Acción
!Prioridad
!Descripción
|-
|Descargar apps solo desde Google Play
|CRÍTICA
|Evitar APK de sitios de terceros
|-
|Verificar permisos de apps
|CRÍTICA
|Desconfiar de apps que piden Servicios de Accesibilidad sin motivo
|-
|Revisar apps instaladas
|ALTA
|Buscar apps sospechosas (especialmente las que imitan Play Protect)
|-
|Mantener Play Protect activo
|ALTA
|No deshabilitar el servicio de seguridad de Google
|-
|No conceder accesibilidad a apps desconocidas
|ALTA
|Los Servicios de Accesibilidad son la clave del ataque
|-
|Usar autenticación biométrica
|MEDIA
|Huella digital/rostro vs PIN/patrón (más difícil de robar)
|-
|Verificar el portapapeles
|MEDIA
|Antes de pegar direcciones de criptomonedas, verificar que no han sido modificadas
|}

=== Recomendaciones para organizaciones (BYOD) ===
{| class="wikitable"
!Acción
!Descripción
|-
|Políticas de MDM
|Restringir instalación de apps fuera de Google Play
|-
|Monitoreo de dispositivos
|Detectar apps sospechosas que solicitan Servicios de Accesibilidad
|-
|Educación de usuarios
|Formación sobre riesgos de sideloading y phishing en móviles
|}

=== Indicadores de compromiso (IoC) ===
Zimperium ha publicado una lista de Indicadores de Compromiso en su página de GitHub:

* Hashes de APK maliciosos
* Dominios C2
* Patrones de tráfico de red

=== Reglas de detección ===
{| class="wikitable"
!Tipo
!Descripción
|-
|YARA
|Reglas para detectar APKs de Rokarolla
|-
|Snort/Suricata
|Reglas para detectar tráfico C2 de Rokarolla
|-
|Sigma
|Reglas para logs de dispositivos Android (MDM)
|}

=== Verificación manual en dispositivo Android ===
bash
 # Buscar apps sospechosas con permisos de accesibilidad
 adb shell settings get secure enabled_accessibility_services
 
 # Buscar apps que imitan Play Protect
 adb shell pm list packages | grep -i "play\|protect"
 
 # Revisar aplicaciones instaladas recientemente
 adb shell pm list packages -3 | sort -k2
----

== Opiniones de Expertos ==
<blockquote>''"Entre sus capacidades maliciosas se incluyen la obtención de credenciales de la pantalla de bloqueo, la extracción de listas de contactos confidenciales y datos de SMS, y la utilización de registradores de pulsaciones de teclas para grabar continuamente la información que introduce el usuario."''

— Zimperium</blockquote><blockquote>''"El malware tiene la capacidad de extraer todos los mensajes SMS del dispositivo infectado y también puede enviar SMS en nombre de la víctima, lo que puede utilizarse para interceptar información confidencial, como códigos OTP bancarios."''

— Zimperium</blockquote><blockquote>''"Como complemento a esta evasión visual, el malware es capaz de silenciar el audio y las vibraciones del dispositivo, lo que garantiza que funcione en completo silencio durante las actividades fraudulentas."''

— Zimperium</blockquote>
----

== Referencias y Fuentes ==

# Zimperium. (2026, junio). ''Rokarolla Android Banking Trojan Analysis''.
# Zimperium. (2026, junio). ''Rokarolla Indicators of Compromise (GitHub)''.

----

== Historial de Revisiones ==
{| class="wikitable"
!Fecha
!Versión
!Autor
!Cambios Realizados
|-
|2026-06-17
|1.0
|Fernando Vargas Hincapié
|Creación inicial basada en el informe de Zimperium sobre Rokarolla
|}
----

== Indicadores de Compromiso (IOCs) ==

=== APK maliciosos ===
{| class="wikitable"
!Tipo
!Detalle
|-
|Dropper
|Se hace pasar por Google Play Protect
|-
|Payload
|Contiene el malware Rokarolla
|-
|Señuelos
|Suplanta TikTok, Google Chrome
|}

=== Dominios C2 ===
{| class="wikitable"
!Característica
!Detalle
|-
|Protocolo
|HTTPS
|-
|Configuración remota
|Puede cambiar a dominios alternativos
|-
|Datos enviados
|ID de bot, detalles de dispositivo, datos robados
|}

=== Comportamiento anómalo a monitorear ===
{| class="wikitable"
!Comportamiento
!Detalle
|-
|Solicitud de Servicios de Accesibilidad
|Especialmente de apps no confiables
|-
|Desactivación de Google Play Protect
|El malware intenta deshabilitarlo
|-
|Silencio inesperado del dispositivo
|Audio y vibraciones silenciados
|-
|Bloqueo de llamadas
|Llamadas entrantes bloqueadas o interceptadas
|-
|Superposiciones sobre apps bancarias
|Pantallas falsas sobre apps legítimas
|-
|Modificación del portapapeles
|Cambios no autorizados en el contenido copiado
|}

=== Aplicaciones objetivo (217) ===
El malware ataca 217 aplicaciones bancarias y de criptomonedas, incluyendo:

* Apps bancarias de múltiples países
* Apps de criptomonedas (wallets, exchanges)
* Apps de servicios financieros

=== Comandos remotos (137) ===
El malware puede recibir 137 comandos del C2, incluyendo:
{| class="wikitable"
!Categoría
!Ejemplos de comandos
|-
|Robo de datos
|Extraer SMS, contactos, credenciales
|-
|Superposiciones
|Mostrar páginas de phishing sobre apps objetivo
|-
|Control remoto
|Capturar pantalla, keylogging, silenciar dispositivo
|-
|Manipulación
|Modificar portapapeles, enviar SMS
|-
|Evasión
|Desactivar Play Protect, bloquear llamadas
|}
----

== Preguntas sin respuesta ==
{| class="wikitable"
!Pregunta
!Estado
|-
|¿Rokarolla está relacionado con otras familias de malware Android?
|No especificado
|-
|¿Cuántas víctimas han sido afectadas?
|No especificado
|-
|¿Google Play Protect ya detecta esta amenaza?
|No especificado (el malware intenta desactivarlo)
|-
|¿Las apps bancarias objetivo varían según la región?
|No especificado
|-
|¿El malware tiene capacidad de auto-actualización?
|No especificado
|}
----

== Etiquetas / Categorías ==
 rokarolla android-banking-trojan mobile-malware android-malware fake-play-protect accessibility-service-abuse overlay-phishing keylogging sms-interception otp-theft cryptocurrency-theft clipboard-hijacking screen-capture call-blocking google-play-protect-disabled zimperium
----