告别 MediaProjection！新一代安卓毒王纯靠“辅助功能”实现静默截屏，技术细节全解析

原创

Hankzheng
Hankzheng

技术修道场

2026年6月23日 08:03
广东

在小说阅读器读本章

去阅读

兄弟们，今天我们来讲讲最近安全大厂 Zimperium 的 zLabs 团队揪出安卓系统来的新毒王。

这个被命名为 Rokarolla 的 Android 银行木马，其凶悍程度简直刷新了我的认知：它手里挥舞着多达 137 个远程控制指令（要知道大名鼎鼎的 HOOK 木马也才 107 个），直接把目标对准了全球 217 款银行和加密货币 App。最骚的是，它能直接扒下你的锁屏 PIN 码、拦截并伪造短信、悄悄篡改剪贴板，甚至在后台把 Google Play Protect 给骨灰都扬了。

今天老哥就带大家扒开它的源码级外衣，看看这货的技术路径到底有多野！

一、 潜伏路径：从“李鬼”下载器到白嫖“辅助功能”

首先，Rokarolla 的传播手段非常传统且鸡贼。它通常挂在一些钓鱼网站上，伪装成 TikTok、Chrome 等顶流 App 诱骗用户下载。但核心的套路在安装之后才真正开始。

Rokarolla 的首阶段注入路径：

1. 用户下载并运行安装包后，首先释放的是一个极其逼真的投放器，它在系统里的伪装身份竟然是 Google Play Protect。
2. 这个“李鬼”会弹出一个高仿的系统提示，声称为了保护手机安全，需要用户授予 Accessibility Service（辅助功能） 权限。
3. 一旦你点了同意，那就对不起了。Rokarolla 拿到这个“免死金牌”后，会在后台静默安装真正的恶意 Payload。
4. Payload 跑起来的第一件事，就是反手下发指令，彻底关闭真正的 Google Play Protect。

作为技术人员大家都知道，Android 的 Accessibility Service 本意是给残障人士做屏幕辅助的，但在安全黑产里，这玩意儿简直是终极后门。有了它，木马就可以模拟任意屏幕点击、读取所有 UI 控件的内容，这直接成了它后续发动攻击的“核动力引擎”。

二、 核心杀招：本地 HTML Overlay 与锁屏密码“降维打击”

拿到权限后，Rokarolla 是怎么洗劫银行和加密货币账户的呢？这就要聊到移动端黑产里经久不衰的界面覆盖攻击 了。但 Rokarolla 把这个技术玩得更高级、更稳定。

技术实现原理：
它从 C2 服务器拉取一份庞大的动态监控目标列表。只要检测到目标列表中的某个 App 被用户在前台启动，木马就会立刻从本地数据库中调用预先下载好的、高仿的 HTML 登录页面。然后，利用悬浮窗权限或辅助功能的节点注入，精准地把这个假网页“贴”在真 App 的最上层。

在报告里，研究员展示了它模仿知名银行 App imagin 的欺骗页面，仿真度极高。用户以为自己在真 App 里输入卡号和密码，实际上全进了木马的本地数据库，并被打包回传。

更绝的是，它还会监控手机锁屏状态，随时弹出一个高仿的系统锁屏界面（PIN/九宫格/密码）。不管你在真锁屏还是假锁屏上滑，它都能把你的锁屏密码抓得一清二楚。有了这个密码，即便手机锁屏，攻击者在后台也完全可以把你解锁当成肉鸡来任意摆布。

三、 颠覆认知：抛弃 MediaProjection，玩转静默截屏

以往的安卓远控木马（比如 Klopatra 家族）想要监控用户屏幕，通常有两种做法：要么是用 VNC 搞实时流媒体传输（太重、耗电、易卡顿）；要么是调用系统的 MediaProjection API 进行屏幕录制。

但是，Android 系统对 MediaProjection 限制极严，一旦调用，系统栏必定会显示一个极其刺眼的录屏图标，用户一眼就能看穿。

Rokarolla 在这里展现了极强的反侦察意识：它直接弃用了 MediaProjection，而是再次白嫖了 Accessibility Service。

木马直接通过辅助功能的底层接口，绕过系统通知，对屏幕内容进行高频、无感的截图。随后，它在本地将这些截图快速压缩成 PNG 格式，以“一帧图片接一帧图片”的串行快照方式默默地发回 C2 服务器。

这种“帧级快照”的策略虽然在流畅度上不如原生 VNC，但在工程实现上极其隐蔽、静音，完美避开了 Android 系统的安全告警机制，这操作真的可以说是太阴险了。

四、 疯狂的 137 个指令集：断绝一切后路

作为一款成熟的 RAT（远程控制木马），Rokarolla 拥有多达 137 个远程指令。除了上面聊到的骚操作，它的基础基本功也练到了极致：

• 短信双重验证码（2FA）？秒破。

它能读取并发送任意短信。甚至它会强行把自己设为手机的默认短信与通话应用。这样一来，一旦银行风控系统发现异常打来电话，木马直接在后台挂断，银行的预警电话你一辈子也接不到。
* 键盘记录与通知监听：

键盘记录器（Keylogger）和屏幕记录器双管齐下，甚至连你微信、电报发了啥、通知栏收到了啥，它都能一览无遗。
* 剪贴板静默篡改：

这招专门针对币圈老哥。当你复制了一长串极其难记的加密货币钱包地址时，它在底层默默把你的地址替换成黑客的地址。只要你粘贴出去没仔细看，大风刮来的 U 直接就送给黑客做慈善了。

为了防止 C2 服务器被安全机构端掉，Rokarolla 还在代码里硬编码了多个备用 C2 域名，并且支持动态下发更新域名。打掉一个，它立马能满血复活，韧性极强。

五、 总结：面对这种“武装到牙齿”的木马，我们怎么防？

说实话，看完这份报告，我最深的感受是：这不是某个系统组件的漏洞（Bug），而是黑产对抗系统防御机制的工程化胜利。 系统本身没有漏洞可补，木马利用的全部是合法的系统设计（比如辅助功能、默认应用流）。

所以，作为开发者或者资深 IT 人员，给身边朋友科普防御手段时，一定要强调这三点：

1. 管住手，拒绝未知来源的 APK：

绝对不要从非官方渠道、奇奇怪怪的网站去下载所谓的“破解版”、“绿色版”App。老老实实认准官方应用市场。
2. 对“辅助功能（Accessibility）”权限保持最高警惕：

如果一个非残障辅助类的 App（比如清理软件、壁纸软件甚至是假冒的安全软件）疯狂跟你要这个权限，100% 有鬼，直接卸载保平安。
3. 关注 IoC 防御：

目前 Zimperium 已经在其 GitHub 仓库公开了 Rokarolla 的失陷指标（IoC）。企业级安全运维的老哥们可以跟进规则，及时在网关或终端对抗中加入策略。

行了，今天的硬核分享就到这里。安全对抗永无止境，作为技术人，唯有保持敬畏。觉得内容有价值的，别忘了点个“在看”、转给身边写 Android 或者搞安全的朋友，咱们下期再见！