Sicherheitsforscher von Zimperium zLabs haben einen neuen Android-Banking-Trojaner namens Rokarolla entdeckt. Die Schadsoftware geht deutlich über das übliche Abgreifen von Zugangsdaten hinaus. Sie übernimmt die nahezu vollständige Kontrolle über ein infiziertes Gerät und schneidet die Opfer gezielt von ihrer Bank ab, damit der Betrug möglichst lange unbemerkt bleibt.

Was ist passiert?

Rokarolla wurde am 16. Juni 2026 öffentlich beschrieben und ist nach seiner Command-and-Control-Infrastruktur benannt, also den Servern, über die die Angreifer den Trojaner steuern. Die Malware zielt auf 217 verschiedene Banking- und Kryptowährungs-Apps und verfügt über 137 Befehle, mit denen die Täter ein infiziertes Gerät fernsteuern können. Zum Vergleich: Der bekannte Trojaner HOOK kam auf 107 Befehle.

Verbreitet wird Rokarolla nicht über den offiziellen Google Play Store, sondern über gefälschte Webseiten, Drittanbieter-Stores und soziale Medien. Diese Seiten geben sich als Download für beliebte Apps wie TikTok oder Google Chrome aus. Eine der beobachteten Domains lautet infocontablidades.it.com. Wer diese installiert, erhält zunächst einen sogenannten Dropper, eine Zwischenstufe, die sich als Google Play Protect ausgibt, also als die eingebaute Schutzfunktion von Android. Erst dieser Dropper lädt anschließend den eigentlichen Schadcode nach.

Wie funktioniert der Angriff?

Nach der Installation fordert Rokarolla weitreichende Berechtigungen an, allen voran den Zugriff auf die Android-Bedienungshilfen (Accessibility Services) sowie Rechte für SMS und Benachrichtigungen. Die Bedienungshilfen sind eigentlich für Menschen mit Einschränkungen gedacht, geben einer App aber sehr tiefen Zugriff auf das Betriebssystem. Genau diese Berechtigung ist der Dreh- und Angelpunkt des gesamten Angriffs.

Der Diebstahl von Zugangsdaten läuft über gefälschte Einblendungen, sogenannte Overlays. Rokarolla lädt vom Server eine Liste der Zielanwendungen und für jede aktive Banking- oder Wallet-App eine passende gefälschte HTML-Login-Seite. Sobald das Opfer die echte App öffnet, legt der Trojaner die Fälschung darüber. Alles, was der Nutzer eingibt, von Zugangsdaten bis zu Kreditkartendaten, landet bei den Angreifern. Ein zusätzliches Overlay ahmt den Sperrbildschirm nach und greift PIN, Muster oder Passwort des Geräts ab. Damit können die Täter das Gerät auch im gesperrten Zustand steuern.

Besonders kritisch ist die Manipulation von SMS und Anrufen. Rokarolla liest sämtliche SMS mit und kann selbst Nachrichten versenden. So fangen die Angreifer die Einmalcodes (OTP) ab, mit denen Banken Überweisungen freigeben. Gleichzeitig blockiert der Trojaner eingehende Anrufe, damit das Opfer keine Warnhinweise der Bank erhält. Um das zu erreichen, lässt sich die Malware als Standard-App für SMS und Telefonie festlegen.

Darüber hinaus zeichnet Rokarolla Tastatureingaben auf, liest angezeigte Bildschirminhalte aus und manipuliert die Zwischenablage. Kopiert ein Nutzer etwa eine Krypto-Wallet-Adresse, kann der Trojaner sie unbemerkt gegen eine Adresse der Angreifer austauschen. Aus Messenger-Apps wie WhatsApp extrahiert die Malware Kontaktdaten. Zur Überwachung setzt Rokarolla keinen klassischen Live-Stream ein, sondern erstellt fortlaufend Screenshots mit Zeitstempel und schickt sie einzeln an den Server.

Warum ist das so gefährlich?

Rokarolla verschiebt den Schwerpunkt von reinem Datendiebstahl hin zur vollständigen Isolation des Opfers. Der Trojaner deaktiviert Google Play Protect, versteckt sein App-Symbol, schaltet Ton und Vibration stumm und hält den Bildschirm dauerhaft an, damit seine Aktionen nicht durch Sperren oder Timeouts unterbrochen werden. Sicherheitswarnungen, Kontrollanrufe der Bank und verdächtige Benachrichtigungen werden so unterdrückt. Das Opfer merkt oft erst dann etwas, wenn das Geld bereits abgeflossen ist.

Einordnend ist wichtig: Zimperium ordnet Rokarolla keiner bestimmten Tätergruppe zu, und bislang liegt keine unabhängige Analyse einer zweiten Forschungsstelle vor. Die technischen Angaben stützen sich also auf eine einzige Quelle. Auch konkrete Infektionszahlen oder betroffene Regionen wurden nicht genannt. Google teilte mit, dass Android-Geräte mit Google Play Services durch Play Protect automatisch vor den bekannten Versionen dieser Schadsoftware geschützt seien.