Nombres Alternativos / Aliases
- Rokarolla (Por la infraestructura C2)
- Android Banking Trojan (Troyano bancario para Android)
- Fake Play Protect Malware (Por el mecanismo de distribución)
- Accessibility Service Abuser (Por el abuso de accesibilidad)
- Overlay Phishing Trojan (Por la técnica de superposición)
Fecha de Detección / Actividad
| Fecha
|
Evento
|
| Junio 2026
|
Publicación del informe de Zimperium sobre Rokarolla
|
| Estado actual
|
Activa (en distribución activa)
|
Resumen Ejecutivo
Rokarolla es un troyano bancario para Android recientemente descubierto por investigadores de Zimperium. El malware, cuyo nombre proviene de su infraestructura de comando y control (C2), ataca 217 aplicaciones bancarias y de criptomonedas y puede ejecutar 137 comandos en los dispositivos infectados.
Descubrimientos clave
| Descubrimiento
|
Detalle
|
| Aplicaciones objetivo
|
217 (bancarias y de criptomonedas)
|
| Comandos remotos
|
137
|
| Vector de distribución
|
Sitios web maliciosos suplantando TikTok, Google Chrome y otras apps populares
|
| Mecanismo principal
|
Abuso de Servicios de Accesibilidad de Android
|
| Técnica de robo
|
Superposiciones de phishing (overlays) + keylogging + capturas de pantalla
|
| Objetivo final
|
Robo de credenciales bancarias, información de tarjetas de crédito, OTPs y criptomonedas
|
Capacidades principales del malware
| Capacidad
|
Descripción
|
| Robo de credenciales
|
Captura de credenciales de pantalla de bloqueo, keylogging
|
| Robo de datos
|
Extracción de contactos, SMS, portapapeles
|
| Superposiciones de phishing
|
Páginas falsas sobre apps legítimas para robar datos financieros
|
| Captura de pantalla
|
Capturas periódicas del dispositivo
|
| Intercepción de SMS
|
Lectura y envío de SMS (robo de OTPs bancarias)
|
| Bloqueo de llamadas
|
Intercepción de llamadas entrantes (evita alertas de fraude)
|
| Silencio del dispositivo
|
Silencia audio y vibraciones para operar oculto
|
| Desactivación de Play Protect
|
Deshabilita el servicio de seguridad de Google
|
Vector de Ataque / Métodos de Distribución
Distribución inicial
| Método
|
Descripción
|
| Sitios web maliciosos
|
Suplantan aplicaciones populares como TikTok y Google Chrome
|
| Ingeniería social
|
Engañan a los usuarios para que descarguen lo que parece una app legítima
|
| Fuera de Google Play
|
Distribución a través de APK sideloading (no desde la tienda oficial)
|
Cadena de infección
| Fase
|
Descripción
|
| 1. Descarga
|
Usuario descarga APK desde sitio malicioso (suplantando TikTok/Chrome)
|
| 2. Instalación
|
Usuario instala manualmente la aplicación (sideloading)
|
| 3. Primera etapa
|
La app se hace pasar por Google Play Protect (servicio de seguridad legítimo)
|
| 4. Segunda etapa
|
Descarga la carga útil de Rokarolla (payload principal)
|
| 5. Solicitud de permisos
|
El malware solicita:
|
- Servicios de Accesibilidad
- Permisos de notificaciones
- Permisos de SMS | | 6. Activación | Rokarolla se ejecuta en segundo plano con control total |
Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK
| Táctica (MITRE ATT&CK)
|
Técnica / Subtécnica
|
Descripción / Implementación
|
| Initial Access (TA0001)
|
Phishing (T1566)
|
Distribución a través de sitios maliciosos suplantando apps populares
|
| Execution (TA0002)
|
User Execution (T1204)
|
Usuario instala manualmente el APK malicioso
|
| Persistence (TA0003)
|
Boot or Logon Autostart Execution (T1547)
|
Inicio automático del malware en el dispositivo
|
| Privilege Escalation (TA0004)
|
Abuse of Accessibility Services
|
Abuso de Servicios de Accesibilidad de Android
|
| Defense Evasion (TA0005)
|
Masquerading (T1036)
|
Suplantación de Google Play Protect
|
| Defense Evasion (TA0005)
|
Impair Defenses (T1562)
|
Desactivación de Google Play Protect
|
| Credential Access (TA0006)
|
Credentials from Password Stores (T1555)
|
Keylogging, superposiciones de phishing
|
| Credential Access (TA0006)
|
Unsecured Credentials (T1552)
|
Robo de credenciales de pantalla de bloqueo
|
| Collection (TA0009)
|
Data from Local System (T1005)
|
Extracción de contactos, SMS, portapapeles
|
| Collection (TA0009)
|
Screen Capture (T1113)
|
Capturas de pantalla periódicas
|
| Collection (TA0009)
|
Input Capture: Keylogging (T1056.001)
|
Registro de pulsaciones de teclas
|
| Command and Control (TA0011)
|
Web Protocols (T1071.001)
|
Comunicación HTTPS con C2
|
| Command and Control (TA0011)
|
Dynamic Resolution (T1568)
|
Cambio a dominios C2 alternativos mediante configuración remota
|
| Exfiltration (TA0010)
|
Exfiltration Over Web Service (T1567)
|
Envío de datos robados al C2
|
| Impact (TA0040)
|
Data Manipulation (T1565)
|
Modificación del portapapeles (sustitución de direcciones de criptomonedas)
|
Flujo de Ataque (Cyber Kill Chain)
| Fase
|
Descripción
|
| 1. Reconocimiento
|
Identificación de usuarios de Android que buscan apps populares fuera de Google Play
|
| 2. Armamento
|
Creación de APK malicioso que suplanta Google Play Protect
|
| 3. Entrega
|
Sitios web maliciosos que ofrecen descargas de TikTok/Chrome falsos
|
| 4. Explotación
|
Usuario descarga e instala el APK malicioso
|
| 5. Instalación
|
- El dropper instala la carga útil de Rokarolla
- Solicita permisos de accesibilidad, SMS, notificaciones
|
| 6. Comando y Control
|
Comunicación con servidor C2 (envío de datos, recepción de comandos)
|
| 7. Acción sobre Objetivos
|
- Superposiciones de phishing sobre apps bancarias/cripto
- Keylogging
- Captura de pantalla
- Robo de SMS/OTP
- Modificación del portapapeles
- Bloqueo de llamadas
- Silencio del dispositivo
|
Infraestructura Utilizada
Comando y Control (C2)
| Característica
|
Descripción
|
| Protocolo
|
HTTPS
|
| Datos enviados
|
Detalles del dispositivo, versión Android, configuración regional, estado de batería, almacenamiento disponible
|
| Identificador
|
ID de bot único por dispositivo
|
| Dominios alternativos
|
Puede cambiar mediante configuración remota
|
| Número de comandos
|
137
|
Aplicaciones objetivo (217)
El malware busca específicamente 217 aplicaciones bancarias y de criptomonedas en el dispositivo infectado. Cuando detecta una aplicación de la lista, descarga una página de phishing que se muestra como superposición al abrir la app legítima.
Técnica de superposición (Overlay Phishing)
| Fase
|
Descripción
|
| Detección
|
Rokarolla detecta que el usuario abre una app bancaria/cripto objetivo
|
| Descarga
|
Descarga una página de phishing desde el C2
|
| Superposición
|
Muestra un overlay falso sobre la app legítima
|
| Captura
|
El usuario introduce credenciales, datos de tarjeta, etc. en el formulario falso
|
| Robo
|
Los datos son enviados a los atacantes
|
Detalle Técnico de Capacidades (137 Comandos)
Capacidades de robo de credenciales
| Capacidad
|
Descripción
|
| Captura de credenciales de pantalla de bloqueo
|
Roba el PIN/patrón/contraseña de desbloqueo del dispositivo
|
| Keylogging
|
Registra todas las pulsaciones de teclas del usuario
|
| Superposiciones de phishing
|
Páginas falsas para apps objetivo (captura de credenciales bancarias)
|
Capacidades de robo de datos
| Capacidad
|
Descripción
|
| Extracción de contactos
|
Lista de contactos del dispositivo
|
| Extracción de SMS
|
Todos los mensajes SMS (incluyendo OTPs bancarias)
|
| Envío de SMS
|
El malware puede enviar SMS en nombre de la víctima
|
| Captura de portapapeles
|
Modificación del contenido del portapapeles
|
| Capturas de pantalla
|
Captura periódica de la pantalla del dispositivo
|
Capacidades de evasión y ocultación
| Capacidad
|
Descripción
|
| Desactivación de Google Play Protect
|
Deshabilita el servicio de seguridad de Google
|
| Bloqueo de llamadas
|
Intercepta y bloquea llamadas entrantes
|
| Silencio del dispositivo
|
Silencia audio y vibraciones
|
| Ocultación de operaciones
|
Funciona en segundo plano sin notificaciones visibles
|
Capacidades de manipulación de OTP
El malware puede interceptar códigos OTP (One-Time Passwords) enviados por SMS:
- Lee los SMS entrantes
- Extrae los códigos OTP bancarios
- Los envía a los atacantes
- Puede incluso enviar SMS en nombre de la víctima para confirmar transacciones fraudulentas
Manipulación de portapapeles (criptomonedas)
El malware puede modificar el contenido del portapapeles sin interacción del usuario, permitiendo:
- Reemplazar direcciones de monederos de criptomonedas copiadas
- Cuando el usuario pega una dirección, en realidad está pegando la dirección del atacante
- Robo de criptomonedas sin que el usuario lo note
Víctimas y Sectores Afectados
| Categoría
|
Datos
|
| Sector principal
|
Usuarios de banca móvil y criptomonedas
|
| Aplicaciones objetivo
|
217 apps bancarias y de criptomonedas
|
| Usuarios afectados
|
Usuarios de Android que descargan apps fuera de Google Play
|
| Distribución geográfica
|
Global
|
| Señuelos principales
|
TikTok falso, Google Chrome falso
|
Impacto y Riesgo
| Categoría
|
Nivel
|
Descripción
|
| Alcance
|
ALTO
|
217 apps bancarias/cripto afectadas
|
| Control remoto
|
MUY ALTO
|
137 comandos disponibles para operadores
|
| Evasión
|
ALTA
|
Desactivación de Play Protect, ocultación de operaciones
|
| Impacto financiero
|
MUY ALTO
|
Robo de credenciales bancarias, OTPs, criptomonedas
|
| Impacto en dispositivos
|
ALTO
|
Control total del dispositivo infectado
|
Consecuencias para la víctima
| Consecuencia
|
Gravedad
|
Detalle
|
| Robo de cuentas bancarias
|
Crítica
|
Credenciales bancarias + OTPs interceptados
|
| Robo de criptomonedas
|
Crítica
|
Sustitución de direcciones en portapapeles
|
| Robo de identidad
|
Alta
|
Datos personales, contactos, SMS
|
| Control remoto del dispositivo
|
Alta
|
Ejecución de 137 comandos remotos
|
| Fraude con SMS
|
Alta
|
Envío de SMS fraudulentos desde el dispositivo
|
Detección y Respuesta
Recomendaciones para usuarios
| Acción
|
Prioridad
|
Descripción
|
| Descargar apps solo desde Google Play
|
CRÍTICA
|
Evitar APK de sitios de terceros
|
| Verificar permisos de apps
|
CRÍTICA
|
Desconfiar de apps que piden Servicios de Accesibilidad sin motivo
|
| Revisar apps instaladas
|
ALTA
|
Buscar apps sospechosas (especialmente las que imitan Play Protect)
|
| Mantener Play Protect activo
|
ALTA
|
No deshabilitar el servicio de seguridad de Google
|
| No conceder accesibilidad a apps desconocidas
|
ALTA
|
Los Servicios de Accesibilidad son la clave del ataque
|
| Usar autenticación biométrica
|
MEDIA
|
Huella digital/rostro vs PIN/patrón (más difícil de robar)
|
| Verificar el portapapeles
|
MEDIA
|
Antes de pegar direcciones de criptomonedas, verificar que no han sido modificadas
|
Recomendaciones para organizaciones (BYOD)
| Acción
|
Descripción
|
| Políticas de MDM
|
Restringir instalación de apps fuera de Google Play
|
| Monitoreo de dispositivos
|
Detectar apps sospechosas que solicitan Servicios de Accesibilidad
|
| Educación de usuarios
|
Formación sobre riesgos de sideloading y phishing en móviles
|
Indicadores de compromiso (IoC)
Zimperium ha publicado una lista de Indicadores de Compromiso en su página de GitHub:
- Hashes de APK maliciosos
- Dominios C2
- Patrones de tráfico de red
Reglas de detección
| Tipo
|
Descripción
|
| YARA
|
Reglas para detectar APKs de Rokarolla
|
| Snort/Suricata
|
Reglas para detectar tráfico C2 de Rokarolla
|
| Sigma
|
Reglas para logs de dispositivos Android (MDM)
|
Verificación manual en dispositivo Android
bash
# Buscar apps sospechosas con permisos de accesibilidad
adb shell settings get secure enabled_accessibility_services
# Buscar apps que imitan Play Protect
adb shell pm list packages | grep -i "play\|protect"
# Revisar aplicaciones instaladas recientemente
adb shell pm list packages -3 | sort -k2
Opiniones de Expertos
"Entre sus capacidades maliciosas se incluyen la obtención de credenciales de la pantalla de bloqueo, la extracción de listas de contactos confidenciales y datos de SMS, y la utilización de registradores de pulsaciones de teclas para grabar continuamente la información que introduce el usuario."
— Zimperium
"El malware tiene la capacidad de extraer todos los mensajes SMS del dispositivo infectado y también puede enviar SMS en nombre de la víctima, lo que puede utilizarse para interceptar información confidencial, como códigos OTP bancarios."
— Zimperium
"Como complemento a esta evasión visual, el malware es capaz de silenciar el audio y las vibraciones del dispositivo, lo que garantiza que funcione en completo silencio durante las actividades fraudulentas."
— Zimperium
Referencias y Fuentes
- Zimperium. (2026, junio). Rokarolla Android Banking Trojan Analysis.
- Zimperium. (2026, junio). Rokarolla Indicators of Compromise (GitHub).
Historial de Revisiones
| Fecha
|
Versión
|
Autor
|
Cambios Realizados
|
| 2026-06-17
|
1.0
|
Fernando Vargas Hincapié
|
Creación inicial basada en el informe de Zimperium sobre Rokarolla
|
Indicadores de Compromiso (IOCs)
APK maliciosos
| Tipo
|
Detalle
|
| Dropper
|
Se hace pasar por Google Play Protect
|
| Payload
|
Contiene el malware Rokarolla
|
| Señuelos
|
Suplanta TikTok, Google Chrome
|
Dominios C2
| Característica
|
Detalle
|
| Protocolo
|
HTTPS
|
| Configuración remota
|
Puede cambiar a dominios alternativos
|
| Datos enviados
|
ID de bot, detalles de dispositivo, datos robados
|
Comportamiento anómalo a monitorear
| Comportamiento
|
Detalle
|
| Solicitud de Servicios de Accesibilidad
|
Especialmente de apps no confiables
|
| Desactivación de Google Play Protect
|
El malware intenta deshabilitarlo
|
| Silencio inesperado del dispositivo
|
Audio y vibraciones silenciados
|
| Bloqueo de llamadas
|
Llamadas entrantes bloqueadas o interceptadas
|
| Superposiciones sobre apps bancarias
|
Pantallas falsas sobre apps legítimas
|
| Modificación del portapapeles
|
Cambios no autorizados en el contenido copiado
|
Aplicaciones objetivo (217)
El malware ataca 217 aplicaciones bancarias y de criptomonedas, incluyendo:
- Apps bancarias de múltiples países
- Apps de criptomonedas (wallets, exchanges)
- Apps de servicios financieros
Comandos remotos (137)
El malware puede recibir 137 comandos del C2, incluyendo:
| Categoría
|
Ejemplos de comandos
|
| Robo de datos
|
Extraer SMS, contactos, credenciales
|
| Superposiciones
|
Mostrar páginas de phishing sobre apps objetivo
|
| Control remoto
|
Capturar pantalla, keylogging, silenciar dispositivo
|
| Manipulación
|
Modificar portapapeles, enviar SMS
|
| Evasión
|
Desactivar Play Protect, bloquear llamadas
|
Preguntas sin respuesta
| Pregunta
|
Estado
|
| ¿Rokarolla está relacionado con otras familias de malware Android?
|
No especificado
|
| ¿Cuántas víctimas han sido afectadas?
|
No especificado
|
| ¿Google Play Protect ya detecta esta amenaza?
|
No especificado (el malware intenta desactivarlo)
|
| ¿Las apps bancarias objetivo varían según la región?
|
No especificado
|
| ¿El malware tiene capacidad de auto-actualización?
|
No especificado
|
Etiquetas / Categorías
rokarolla android-banking-trojan mobile-malware android-malware fake-play-protect accessibility-service-abuse overlay-phishing keylogging sms-interception otp-theft cryptocurrency-theft clipboard-hijacking screen-capture call-blocking google-play-protect-disabled zimperium
