Un nuovo malware sta mettendo in pericolo gli utenti che utilizzano smartphone Android per accedere al conto corrente o alle piattaforme di criptovalute. Si chiama Rokarolla ed è un trojan bancario progettato per sottrarre credenziali, PIN, messaggi e codici di sicurezza.
La minaccia è stata individuata dai ricercatori di Zimperium, secondo i quali il malware sarebbe in grado di colpire 217 applicazioni finanziarie. La sua pericolosità deriva soprattutto dal numero di operazioni che può svolgere sul dispositivo infetto e dalla capacità di nascondere le proprie attività alla vittima.
Cos’è Rokarolla e perché rappresenta un pericolo
Rokarolla appartiene alla categoria dei trojan bancari, programmi malevoli creati con l’obiettivo di ottenere l’accesso ai servizi finanziari delle vittime. Una volta installato, può eseguire fino a 137 comandi differenti, consentendo ai criminali informatici di controllare numerose funzioni dello smartphone.
Il malware prende di mira applicazioni bancarie e servizi dedicati alle criptovalute. Quando riconosce l’apertura di una delle app presenti nel proprio elenco, può sovrapporre una schermata falsa a quella originale.
L’utente crede così di trovarsi davanti alla normale pagina di accesso della banca. In realtà, nome utente, password e altri dati digitati vengono inviati direttamente agli aggressori.
Rokarolla può inoltre mostrare finti blocchi dello schermo per convincere la vittima a inserire il PIN, la sequenza di sblocco o la password del telefono. In questo modo, gli hacker possono ottenere ulteriori informazioni utili per completare una frode.
Il malware viene diffuso attraverso false applicazioni
L’infezione non partirebbe dal Google Play Store, ma da siti web esterni controllati dai criminali. Queste pagine imitano servizi conosciuti e propongono il download di applicazioni apparentemente legittime.
Tra i programmi utilizzati come esca ci sarebbero anche versioni false di Google Chrome e TikTok. Grafica, icone e nomi vengono riprodotti per ridurre i sospetti e spingere la persona a installare manualmente il file.
Durante il procedimento può comparire anche un componente che si presenta come Google Play Protect. La falsa funzione di sicurezza serve, in realtà, a completare l’installazione del trojan e a convincere l’utente che l’operazione sia sicura.
Questo passaggio mostra perché scaricare applicazioni da siti sconosciuti può essere rischioso. Un file Android in formato APK può apparire autentico, pur contenendo un software capace di prendere il controllo del dispositivo.
I permessi di Accessibilità aprono la strada all’attacco
Per funzionare pienamente, Rokarolla ha bisogno di ottenere diversi permessi. Tra i più importanti ci sono quelli relativi ai servizi di Accessibilità di Android, normalmente utilizzati per aiutare le persone con difficoltà visive o motorie.
Queste funzioni possono però diventare molto potenti nelle mani di un’app malevola. Il trojan può sfruttarle per osservare ciò che compare sullo schermo, simulare tocchi, aprire finestre e autorizzare determinate operazioni.
Il malware richiede inoltre l’accesso ai messaggi SMS e alle notifiche. Se l’utente concede queste autorizzazioni, Rokarolla può leggere le comunicazioni ricevute e intercettare informazioni riservate.
Il problema nasce spesso dalla scarsa attenzione mostrata durante l’installazione. Molte persone accettano tutte le richieste senza controllare se siano coerenti con le funzioni dell’app. Un social network, un browser o un semplice gioco non dovrebbero richiedere il controllo completo dello smartphone.
Può intercettare anche i codici OTP
Una delle capacità più preoccupanti riguarda i codici OTP, cioè le password temporanee inviate dalla banca per autorizzare un accesso o confermare un pagamento.
Grazie all’accesso agli SMS e alle notifiche, Rokarolla può leggere questi codici prima che la vittima riesca a utilizzarli. Il trojan può intercettare anche alcune informazioni legate all’autenticazione a due fattori.
Di conseguenza, conoscere soltanto la password bancaria potrebbe non essere l’unico obiettivo degli aggressori. Il malware tenta di raccogliere tutti gli elementi necessari per superare i diversi livelli di sicurezza.
Rokarolla integra anche funzioni simili a quelle di un keylogger, uno strumento capace di registrare ciò che viene digitato. Può quindi acquisire password, messaggi, indirizzi e altri dati personali.
In alcuni casi può leggere o inviare SMS sfruttando il numero della vittima. Questa funzione potrebbe essere utilizzata per diffondere nuovi messaggi ingannevoli ai contatti presenti nella rubrica, creando una catena di ulteriori tentativi di truffa.
Rokarolla prova a impedire alla vittima di accorgersi del problema
Il trojan è stato sviluppato anche per ridurre i segnali che potrebbero insospettire il proprietario del telefono. Secondo l’analisi dei ricercatori, può disattivare Google Play Protect, bloccare le chiamate in entrata e silenziare completamente l’audio del dispositivo.
Bloccare una telefonata può essere utile ai criminali durante una frode bancaria. La banca o un familiare potrebbero infatti tentare di contattare la vittima dopo aver notato un’operazione sospetta. Impedendo la comunicazione, gli aggressori guadagnano tempo.
Anche la scomparsa improvvisa dell’audio può servire a nascondere notifiche, chiamate e avvisi di sicurezza. Comportamenti simili devono quindi essere considerati con attenzione, soprattutto quando compaiono dopo l’installazione di una nuova applicazione.
Come proteggere lo smartphone Android
La prima regola consiste nello scaricare le app esclusivamente dal Google Play Store o da altri store ufficiali riconosciuti. I collegamenti ricevuti tramite SMS, chat, e-mail o annunci pubblicitari non dovrebbero essere utilizzati per installare file APK.
Prima di concedere un’autorizzazione è importante domandarsi perché l’app la stia richiedendo. I servizi di Accessibilità, l’accesso agli SMS e la lettura delle notifiche devono essere concessi soltanto quando sono realmente necessari.
Google Play Protect dovrebbe restare attivo, mentre il sistema operativo e le applicazioni devono essere aggiornati regolarmente. Gli aggiornamenti correggono vulnerabilità che potrebbero essere sfruttate dai malware.
Se il telefono inizia a bloccare chiamate, perde improvvisamente l’audio o mostra schermate insolite durante l’accesso alla banca, è consigliabile interrompere subito le operazioni. In presenza di movimenti sospetti occorre contattare l’istituto bancario da un altro dispositivo, cambiare le credenziali e verificare le applicazioni installate.
La prevenzione rimane la difesa più efficace: evitare download esterni e controllare con attenzione ogni permesso può impedire a Rokarolla di entrare nello smartphone e raggiungere i dati finanziari.
