Rokarolla
Rokarolla es un troyano bancario para Android descubierto recientemente por el equipo de investigación zLabs de Zimperium, que recibe su nombre de la infraestructura de servidores de Comando y Control (C2) que utiliza . Este malware representa un salto cualitativo en las amenazas móviles, ya que no se limita al robo de credenciales, sino que busca el control total del dispositivo, combinando el fraude financiero con una vigilancia integral del terminal . Su capacidad para atacar 217 aplicaciones diferentes de banca y criptomonedas, junto con un arsenal de 137 comandos remotos, lo convierten en una de las amenazas más versátiles y peligrosas documentadas en el ecosistema Android .
La cadena de ataque de Rokarolla comienza en sitios web maliciosos que imitan a aplicaciones populares como TikTok o Google Chrome . La víctima descarga un dropper inicial que se hace pasar por la herramienta de seguridad Google Play Protect, engañando al usuario para que instale la carga útil maliciosa final y conceda permisos críticos, especialmente los Servicios de Accesibilidad de Android . Una vez instalado y con los permisos necesarios, Rokarolla despliega una serie de técnicas ofensivas: utiliza superposiciones de pantalla falsas (overlays) para robar credenciales al abrir aplicaciones financieras legítimas, secuestra el portapapeles para modificar direcciones de billeteras de criptomonedas, e implementa un keylogger para registrar todo lo que el usuario escribe .
Para mantener su control y operar sin ser detectado, Rokarolla emplea tácticas de evasión avanzadas que lo convierten en una amenaza particularmente insidiosa. El malware puede bloquear llamadas entrantes y silenciar todos los sonidos del dispositivo, impidiendo que las víctimas reciban alertas de fraude de sus bancos . Además, desactiva Google Play Protect, oculta su propio icono, y fuerza la pantalla a permanecer encendida para que sus actividades en segundo plano nunca se interrumpan . Utilizando una técnica denominada Pseudo-VNC, toma capturas de pantalla periódicas para espiar la actividad del usuario sin activar los indicadores visibles de una grabación de pantalla tradicional . Esta combinación de capacidades, que incluye la interceptación de SMS y la manipulación de la interfaz de usuario a través de los Servicios de Accesibilidad, permite a los operadores de Rokarolla tener el control total del dispositivo, haciendo que funciones de seguridad como la autenticación de dos factores (2FA) basada en SMS sean completamente inútiles .
Funcionamiento
Rokarolla es un troyano bancario para Android que opera mediante una arquitectura de dos etapas para establecerse en el dispositivo. La infección comienza cuando la víctima visita un sitio web malicioso que imita portales legítimos de aplicaciones populares como TikTok o Google Chrome . El primer archivo descargado es un dropper que se hace pasar por Google Play Protect, el servicio de seguridad integrado de Android, para engañar al usuario y obtener los permisos necesarios para instalar la carga útil maliciosa final . Una vez instalado el payload principal, el malware solicita acceso a los Servicios de Accesibilidad de Android (Accessibility Services), así como permisos para gestionar SMS, notificaciones y llamadas telefónicas, con el objetivo de convertirse en el manejador predeterminado de estos servicios en el dispositivo .
Abuso de Accesibilidad y Comando y Control (C2)
El núcleo del funcionamiento de Rokarolla reside en el abuso de los Servicios de Accesibilidad y su sofisticada comunicación con la infraestructura de Comando y Control (C2). Al obtener acceso a estos servicios, el malware puede monitorizar la pantalla, simular interacciones de usuario (como clics y gestos) y leer el contenido de la interfaz de usuario sin necesidad de interacción adicional . La comunicación con el servidor C2 comienza con el envío de un perfil detallado del dispositivo (modelo, versión de Android, nivel de batería, almacenamiento disponible, etc.) para generar un botID único que identifica a la víctima . Este canal permite a los operadores enviar hasta 137 comandos remotos diferentes para controlar el teléfono, y el malware es capaz de cambiar dinámicamente a dominios C2 alternativos para garantizar su persistencia operativa .
Técnicas de Robo y Fraude Financiero
Para el robo de información financiera, Rokarolla implementa un sistema de superposiciones fraudulentas (overlays). El malware consulta periódicamente su servidor C2 para obtener una lista de las 217 aplicaciones de banca y criptomonedas que tiene como objetivo . Cuando la víctima abre una de estas aplicaciones legítimas, Rokarolla descarga una página HTML de phishing desde el servidor y la muestra como una superposición sobre la aplicación real, capturando así las credenciales de inicio de sesión, números de tarjetas de crédito y otros datos financieros . Adicionalmente, despliega una superposición falsa que imita la pantalla de bloqueo de Android para robar el PIN, patrón o contraseña del dispositivo, permitiendo a los atacantes acceder al teléfono incluso cuando está bloqueado .
Vigilancia, Evasión y Control Total
Más allá del robo de credenciales, Rokarolla despliega un arsenal de técnicas de vigilancia y evasión para mantener el control total del dispositivo. Utiliza un keylogger y un UI logger automatizados para registrar todas las pulsaciones de teclas y el contenido mostrado en pantalla, pudiendo extraer listas de contactos de WhatsApp e interceptar mensajes SMS . Implementa un mecanismo de vigilancia llamado Pseudo-VNC, que captura capturas de pantalla periódicas del dispositivo y las envía al servidor C2 junto con marcas de tiempo, evitando el uso de la API MediaProjection que normalmente mostraría un aviso de grabación visible al usuario . Para ocultar sus operaciones, el malware bloquea llamadas entrantes (incluyendo alertas de fraude bancario), silencia todos los sonidos y vibraciones del dispositivo, desactiva Google Play Protect y fuerza la pantalla a permanecer encendida de forma indefinida . Finalmente, el malware puede secuestrar el portapapeles para modificar direcciones de billeteras de criptomonedas copiadas por el usuario, redirigiendo los fondos a cuentas controladas por los atacantes sin que la víctima lo note .
Impacto y consecuencias
El impacto de Rokarolla trasciende el robo de credenciales bancarias para convertirse en un habilitador estratégico de fraude financiero a través del control total del dispositivo y el aislamiento de la víctima. Como señala Jason Soroko de Sectigo, "el troyano Rokarolla marca un cambio de la sustracción de datos al aislamiento de la víctima, convirtiendo el teléfono en un arma contra su propietario". Este cambio de paradigma es crítico porque el malware no solo roba información pasivamente, sino que interrumpe activamente los mecanismos de respuesta y alerta que las instituciones financieras utilizan para prevenir fraudes: bloquea llamadas entrantes (incluyendo alertas bancarias), silencia todos los sonidos y vibraciones del dispositivo, e intercepta mensajes SMS con códigos de un solo uso (OTP). Al convertirse en el manejador predeterminado de SMS y llamadas, Rokarolla se interpone entre el banco y la víctima, haciendo que la autenticación de dos factores basada en SMS sea completamente inútil. Esta capacidad, combinada con el secuestro del portapapeles que reemplaza direcciones de billeteras de criptomonedas en tiempo real, permite a los atacantes ejecutar transferencias fraudulentas sin que la víctima reciba ninguna notificación o alerta audible.
Erosión de las Defensas de Seguridad de Android y Consecuencias Sistémicas
El malware socava activamente los pilares de seguridad en los que confían los usuarios de Android, con consecuencias que van más allá de la víctima individual. Rokarolla desactiva Google Play Protect (el sistema antimalware integrado de Android), oculta su icono del cajón de aplicaciones, fuerza la pantalla a permanecer encendida indefinidamente y utiliza superposiciones falsas para bloquear la interacción del usuario mientras realiza actividades maliciosas en segundo plano. El impacto en la postura de seguridad de las organizaciones es particularmente grave, ya que los empleados utilizan sus teléfonos móviles personales para acceder a correos electrónicos corporativos, aplicaciones de mensajería y otros datos empresariales. Un único dispositivo comprometido puede convertirse en un punto de entrada a la infraestructura corporativa, especialmente cuando el malware puede exfiltrar listas de contactos de WhatsApp, interceptar credenciales y capturar capturas de pantalla de aplicaciones de trabajo. Randolph Barr, CISO de Cequence Security, advierte que los empleadores "a menudo carecen del mismo nivel de madurez en ciberseguridad que, por ejemplo, los sistemas gubernamentales, por lo que pueden convertirse en el eslabón más débil de la cadena". Esto refleja una tendencia más amplia: en 2024, se bloquearon más de 33 millones de incidentes de malware/adware móvil y más de 4 millones de ataques de ingeniería social dirigidos a dispositivos móviles, lo que demuestra que Rokarolla no es un caso aislado sino parte de una oleada creciente de amenazas que buscan el control total del dispositivo en lugar del simple robo de credenciales.
Consecuencias a Largo Plazo y Evolución del Panorama de Amenazas
La arquitectura de Rokarolla establece nuevos estándares de sofisticación que probablemente influirán en el desarrollo de futuros troyanos bancarios. Con 137 comandos remotos (superando los 107 del troyano HOOK) y la capacidad de cambiar dinámicamente a dominios C2 alternativos, el malware demuestra una resiliencia operativa que dificulta su mitigación mediante el bloqueo de servidores individuales. El uso de Pseudo-VNC (una técnica de vigilancia basada en capturas de pantalla temporizadas que evita el aviso visible de grabación de la API MediaProjection) representa una evolución táctica hacia métodos más sigilosos de espionaje. A largo plazo, la existencia de Rokarolla tiene implicaciones regulatorias y de cumplimiento significativas: el acceso no autorizado a datos personales (contactos, SMS, credenciales) y la manipulación fraudulenta de transacciones financieras exponen a las organizaciones a sanciones por violaciones de GDPR/CCPA y a demandas legales por negligencia en la protección de los datos de los empleados. Zimperium señala que Rokarolla está diseñado "específicamente para eludir las soluciones de seguridad móvil heredadas basadas en firmas", lo que obliga a la industria a reconsiderar los modelos de detección hacia análisis basados en comportamiento y anomalías en lugar de simples comparaciones de hash. Para los equipos de seguridad, la lección es clara: el enfoque debe pasar de la simple detección de malware a la monitorización de abuso de permisos (especialmente Servicios de Accesibilidad), la inactivación de Google Play Protect y los patrones de superposición de pantallas, mientras se implementan políticas de "no instalar aplicaciones fuera de Google Play" y se entrena a los empleados para tratar cualquier solicitud inesperada de permisos de Accesibilidad como una bandera roja crítica.
Origen y Motivación
El troyano bancario Rokarolla fue descubierto por el equipo zLabs de Zimperium y recibe su nombre de la infraestructura de servidores de Comando y Control (C2) que utiliza. Su origen se rastrea hasta campañas de distribución a través de sitios web maliciosos que imitan aplicaciones populares como TikTok o Google Chrome; el ataque comienza con un "dropper" que se hace pasar por la herramienta de seguridad Google Play Protect para engañar a la víctima y poder instalar la carga útil maliciosa. Su motivación principal es claramente el fraude financiero con fines de lucro, ya que está diseñado específicamente para robar credenciales y datos de 217 aplicaciones bancarias y de criptomonedas mediante el uso de superposiciones de pantalla falsas (overlays) y secuestro del portapapeles para desviar transacciones. Más allá del robo de información, el malware busca el control total del dispositivo mediante un arsenal de 137 comandos remotos que le permiten aislar a la víctima (bloqueando llamadas bancarias, silenciando el dispositivo y desactivando Google Play Protect) para realizar el fraude sin ser detectado.