5 min

Nový trojský kůň pro Android se tváří jako legitimní aplikace. Ve vteřině vám pak vysaje bankovní účet, aniž si všimnete

Přidejte si obsah Centrum.cz do oblíbených zdrojů pro Google hledání a Google zprávy

Sdílet

Dennívýzva

Bezpečnostní tým Zimperium popsal trojského koně Rokarolla, který ovládne telefon s Androidem tak důkladně, že oběť nevidí jedinou varovnou známku, a peníze odtečou dřív, než stihne zamrkat.

Telefon, Android, menu, aplikace

Zdroj: Pexels

Obsah článku

Představte si, že si stáhnete TikTok z odkazu, který vám přišel ve zprávě. Aplikace se nainstaluje, na obrazovce proběhne logo Google Play Protect, telefon vás požádá o pár oprávnění. Nic podezřelého, jenže od tohoto okamžiku váš telefon pracuje proti vám. Přesně tak funguje Rokarolla, nový bankovní trojan pro Android, který 16. června 2026 veřejně zdokumentoval tým zLabs společnosti Zimperium. Nejde o další primitivní virus šířený podřadným APK souborem. Rokarolla kombinuje sofistikované sociální inženýrství s téměř úplným převzetím zařízení, a v české infrastruktuře okamžitých plateb dokáže peníze z účtu odeslat doslova za půl sekundy.

Jak se Rokarolla dostane do telefonu

Řetězec útoku začíná podvodným webem. Stránka vypadá jako legitimní zdroj ke stažení TikToku nebo prohlížeče Chrome, grafika sedí, doména na první pohled nevzbuzuje podezření. Uživatel stáhne APK soubor a spustí instalaci. V tu chvíli se na obrazovce objeví důvěrně známé rozhraní Google Play Protect, které „ověřuje bezpečnost“. Jenže to není Play Protect. Je to první stupeň malwaru (takzvaný dropper), který pod tímto krytím potichu doinstaluje druhý, hlavní stupeň škodlivého kódu.

Dropper pak požádá o sérii oprávnění: přístupnost (Accessibility), SMS, oznámení, správu hovorů. Každé z nich zní jednotlivě rozumně. Dohromady ale znamenají totální kontrolu. A právě tady je skutečný zlom celého útoku, ne stažení souboru, ale moment, kdy uživatel klepne na „Povolit“. Od té chvíle má Rokarolla klíče ke všemu.

Co malware umí a proč si ničeho nevšimnete

Rokarolla disponuje 137 vzdálenými příkazy a cílí na 217 bankovních a kryptoměnových aplikací. Po infekci odešle na řídicí server seznam aplikací nainstalovaných v telefonu. Pro každou shodnou cílovou aplikaci si stáhne HTML phishingový overlay, falešnou přihlašovací obrazovku přesně odpovídající vizuálu dané banky. Když oběť otevře svou bankovní aplikaci, Rokarolla ji okamžitě překryje podvrženým přihlášením. Uživatel zadá jméno, heslo, číslo karty, PIN. Všechno putuje rovnou k útočníkovi.

Ale krádež přihlašovacích údajů je jen začátek. Malware současně:

čte a odesílá SMS, čímž zachytí jednorázové ověřovací kódy
přebírá oznámení a vidí push notifikace z banky dřív než vy
blokuje příchozí hovory, takže vám banka nemůže zavolat s varováním
zapisuje stisky kláves a pořizuje snímky obrazovky
umlčí zvuky a vibrace telefonu
skryje svou ikonu z plochy i seznamu aplikací
aktivně vypíná Google Play Protect, aby ho bezpečnostní kontrola neodhalila
drží displej aktivní, aby mohl provádět operace na pozadí

Výsledek? Telefon se chová normálně. Žádné podivné zvuky, žádná neznámá ikona, žádné varování. Oběť často zjistí, co se stalo, až z výpisu účtu, nebo vůbec.

Proč „ve vteřině“ není nadsázka

Samotná krádež přihlašovacích údajů proběhne v okamžiku, kdy je uživatel vyplní do podvržené obrazovky. Útočník pak má vše potřebné k provedení transakce: login, heslo, údaje o kartě i zachycený SMS kód. A tady přichází na řadu česká platební infrastruktura.

Podle České národní banky zpracuje systém CERTIS polovinu okamžitých plateb do 0,5 sekundy. Devětadevadesát procent transakcí proběhne do 1,5 sekundy. Systém běží nepřetržitě, 24 hodin denně, 7 dní v týdnu. Jakmile útočník získá přístup k účtu a odešle platbu, peníze jsou na druhé straně prakticky okamžitě. Vrátit je zpět už tak snadné není; ČNB upozorňuje, že pokud transakci předcházelo silné ověření a uživatel ho sám potvrdil, může ztrátu nést on. Každý případ se posuzuje individuálně, ale automatický nárok na vrácení peněz neexistuje.

Jak se bránit, a co dělat, když je pozdě

Rokarolla se šíří výhradně mimo Google Play, přes podvodné weby a ruční instalaci APK souborů. To je dobrá zpráva pro každého, kdo důsledně stahuje aplikace jen z oficiálního obchodu. Ale není to absolutní záruka; v minulosti se přes Google Play dostal například trojan SharkBot maskovaný jako falešný antivirus, jak zdokumentovala NCC Group.

Praktická obrana stojí na několika zásadách:

Nestahujte aplikace z odkazů ve zprávách, e-mailech ani z neznámých webů. TikTok i Chrome mají oficiální stránky v Google Play.
Buďte podezřívaví k oprávněním. Pokud aplikace typu prohlížeč nebo sociální síť žádá přístup k Accessibility, SMS nebo správě hovorů, něco je špatně. Legitimní aplikace tato oprávnění nepotřebují.
Nechte zapnutý Google Play Protect. Kontroluje aplikace i z jiných zdrojů než Play a dokáže škodlivou aplikaci deaktivovat.
Sledujte, jestli vám po instalaci nezmizela ikona aplikace. To je jeden z nejjasnějších signálů Rokarolly.

Pokud máte podezření, že je telefon infikovaný, Česká spořitelna doporučuje přepnout do nouzového režimu, spustit kontrolu Play Protect, odinstalovat podezřelé aplikace a v krajním případě provést tovární reset. Hesla měňte výhradně z čistého zařízení. A hlavně: okamžitě volejte banku.

Rokarolla v kontextu: evoluce, ne revoluce

Bankovní trojany pro Android nejsou novinkou. Cerberus uměl overlaye a keylogging už v roce 2019. SharkBot přidal automatizaci převodů přímo na zařízení. Rokarolla ale posouvá laťku šíří ovládání: 137 příkazů, blokace hovorů, převzetí SMS i notifikací, pořizování snímků obrazovky připomínající vzdálený přístup, manipulace se schránkou, umlčení telefonu. Podle nás jde o nejkomplexnější veřejně zdokumentovaný bankovní trojan pro Android, který se zatím objevil.

Ve veřejně dostupné analýze Zimperium bohužel není zveřejněn úplný seznam 217 cílených aplikací, takže nelze potvrdit, zda mezi nimi figurují české banky. Není to ale důvod k uklidnění; malware si seznam cílů stahuje dynamicky ze serveru a může ho kdykoli rozšířit. NÚKIB obecně doporučuje obezřetnost při instalaci aplikací a pečlivou kontrolu oprávnění, byť konkrétně k Rokarolle se zatím veřejně nevyjádřil.

Android 16 přináší novou obranu v podobě atributu accessibilityDataSensitive, který umožňuje vývojářům bankovních aplikací skrýt citlivé obrazovky před neověřenými nástroji přístupnosti. Je to krok správným směrem. Ale funguje jen tam, kde ho vývojář aktivně nasadí, a to zatím zdaleka neudělali všichni.

Rokarolla není apokalypsa. Je to ale připomínka, že nejslabším článkem zabezpečení telefonu zůstává jedno klepnutí na „Povolit“, a že v éře okamžitých plateb už na nápravu nezbývá čas.

Zdroj: Mobify.cz - Váš párťák ve světě elektroniky

Autor: Jiří Pacovský

Reklama

Další články z Mobify.cz

Bude to úplně jiná liga, foťák iPhone 18 Pro má být obrovský skok. Apple testuje, co v mobilu ještě nikdo neviděl

5 aplikací z Google Play vám kradou hesla k bance. Ihned je smažte, má je přes 150 tisíc lidí

Pět nenápadných utilit pro čištění telefonu a čtení PDF sloužilo jako brána pro bankovní trojan. Česko...

Retro ukládání dat, které dnes mladí ani neznají. A pak zmizely týdny práce kvůli jednomu magnetu

Stačilo přiložit magnet k tenké plastové destičce a data, která někdo vytvářel celé týdny, přestala...

Taháte nabíjecí kabel za drát místo za konektor? Životnost mu tím zkracujete o několik měsíců

Nejslabší místo každého nabíjecího kabelu je spoj mezi ohebným drátem a pevným konektorem. Právě tam tah za...

Neznámé číslo nezvedáte? Tím volajícímu říkáte přesně to, co potřebuje vědět. Zavolá znovu, když to nečekáte

Nepřijatý hovor z neznámého čísla neznamená pro call centrum, že už nemá volat znovu. Spíš naopak, že to má...

Tento článek byl publikován ze zdrojů Mobify.cz

Web se zaměřuje na mobilní telefony, chytré technologie a moderní aplikace. Čtenáři zde najdou recenze nových modelů, srovnání zařízení, tipy na užitečné aplikace i praktické rady, jak z telefonu dostat maximum. Obsah sleduje také trendy v oblasti elektroniky, softwaru a digitálních služeb – od...

Nový trojský kůň pro Android se tváří jako legitimní aplikace. Ve vteřině vám pak vysaje bankovní účet, aniž si všimnete

Bývalý profesor z Cambridge Jason Arday byl nalezen mrtvý

Tary se kaje kvůli dětskému campu. Přiznal pochybení a najal psycholožku

Nečekaná návštěva u Kvitové. Za její početnou rodinkou dorazila samotná tenisová královna Navrátilová

Šílenství na Klondiku. Sto tisíc lidí hnal sen o zlatě do mrazivého pekla, zbohatli hoteliéři i dědeček prezidenta

Stačí půl hodiny dvakrát týdně. Tento typ cvičení vyšel věda doporučuje pro kvalitnější spánek