Rokarolla: trojan Android mira 217 apps de banco e cripto com 137 comandos
A Zimperium zLabs descreveu o Rokarolla, trojan bancário Android que ataca 217 aplicativos financeiros, rouba PINs e códigos SMS, cria overlays de login falsos e desativa o Google Play Protect.
Em junho de 2026, a equipe zLabs da Zimperium detalhou o Rokarolla, um trojan bancário Android de amplo alcance: 217 aplicativos de bancos e de criptomoedas na mira e um repertório de 137 comandos remotos. É um exemplo maduro da categoria de malware que transforma o celular da vítima em posto avançado do fraudador.
O Rokarolla chega por sites maliciosos que se passam por apps legítimos, como TikTok e Chrome. O dropper inicial se disfarça justamente de Google Play Protect para convencer a vítima a conceder permissões de Acessibilidade — a chave que abre todo o resto. A partir daí, ele rouba PINs, padrões e senhas de bloqueio; lê e envia SMS para capturar códigos de uso único (OTP); registra teclas e tira capturas de tela via Acessibilidade; sobrepõe páginas HTML de login falsas sobre os apps de banco; manipula a área de transferência para desviar pagamentos de cripto para carteiras do atacante; e desativa o Google Play Protect para se manter.
O caso importa porque reúne, num só artefato, roubo de credenciais, captura de segundo fator e controle remoto — a combinação que anula boa parte das defesas convencionais. Com leitura de SMS e overlays, o 2FA por mensagem deixa de ser barreira; com a área de transferência sequestrada, até copiar-e-colar um endereço de carteira vira risco.
A orientação da própria Zimperium é a linha de frente: instalar apps exclusivamente pela Google Play, manter o Play Protect ativo e tratar qualquer pedido inesperado de permissão de Acessibilidade como altamente suspeito — praticamente nenhum app legítimo de uso comum precisa desse acesso.