Rokarolla: Malware Android yang Bisa Ambil Alih Penuh Ponsel dan Curi 217 Aplikasi Banking & Crypto

“Rokarolla bukan sekadar malware pencuri password — ini adalah operasi pengambilalihan total perangkat yang dirancang untuk menjungkirbalikkan seluruh pengalaman mobile banking korban.”

Ringkasan

Peneliti dari Zimperium zLabs pada Juni 2026 mengungkap trojan perbankan Android yang dijuluki Rokarolla — sebuah malware dengan kemampuan full device takeover yang menargetkan lebih dari 217 aplikasi perbankan dan cryptocurrency di seluruh dunia.

Rokarolla mewakili evolusi malware Android dari sekadar credential stealer menjadi platform pengambilalihan perangkat secara menyeluruh yang dapat mengintersepsi setiap interaksi pengguna — dari layar kunci hingga konfirmasi transaksi.

Apa Itu Rokarolla?

Rokarolla adalah Android banking trojan dengan arsitektur modular yang memungkinkan operatornya menjalankan lebih dari 137 perintah berbeda untuk mengontrol perangkat korban. Malware ini diklasifikasikan sebagai ancaman level tertinggi karena kemampuannya yang mencakup:

Pencurian kredensial real-time via overlay phishing
Interception SMS dan OTP 2FA
Keylogging dan screenshot surveillance
Clipboard hijacking (penggantian alamat crypto wallet)
Fake lock screen untuk mencuri PIN perangkat
Blokir panggilan dan notifikasi keamanan

Bagaimana Rokarolla Menginfeksi Perangkat

Vektor Infeksi

Rokarolla tidak didistribusikan melalui Google Play Store. Threat actor menggunakan metode sideloading melalui:

Website phishing yang meniru portal download resmi
Iklan malicious (malvertising) yang mengarahkan ke APK palsu
Social engineering — menawarkan versi “premium” atau “mod” dari aplikasi populer

Proses Infeksi

┌─────────────────────────────────┐
│ Korban mengunjungi situs palsu  │
│ (meniru portal download resmi)  │
└───────────────┬─────────────────┘
                ▼
┌─────────────────────────────────┐
│ Download APK dropper            │
│ (menyamar sebagai "Google        │
│  Play Protect")                  │
└───────────────┬─────────────────┘
                ▼
┌─────────────────────────────────┐
│ Instalasi & permintaan izin     │
│ - Accessibility Service         │
│ - SMS read/send                 │
│ - Overlay permission            │
│ - Notification access           │
└───────────────┬─────────────────┘
                ▼
┌─────────────────────────────────┐
│ Koneksi ke C2 server            │
│ Download payload utama          │
└───────────────┬─────────────────┘
                ▼
┌─────────────────────────────────┐
│ FULL DEVICE TAKEOVER            │
└─────────────────────────────────┘

Dropper awal menyamar sebagai “Google Play Protect” untuk membangun kepercayaan palsu dan meyakinkan korban memberikan izin aksesibilitas — izin paling berbahaya di Android yang menjadi kunci seluruh operasi malware.

Kemampuan Lengkap: Full Device Takeover

1. Overlay Phishing Real-Time

Saat korban membuka aplikasi banking atau crypto yang ditargetkan, Rokarolla langsung menampilkan overlay HTML yang secara visual identik dengan halaman login asli:

// Pseudocode mekanisme overlay Rokarolla
function injectOverlay(targetPackage) {
    if (isTargetedApp(targetPackage)) {
        const overlay = createHTMLOverlay(targetPackage);
        overlay.style.position = "absolute";
        overlay.style.top = 0;
        overlay.style.left = 0;
        overlay.style.width = "100%";
        overlay.style.height = "100%";
        overlay.style.zIndex = 9999;
        window.addView(overlay);
    }
}

Setiap kredensial, PIN, atau detail kartu kredit yang diketikkan korban akan langsung dikirim ke server C2 attacker.

2. Fake Lock Screen — Curi PIN Perangkat

Rokarolla dapat menampilkan layar kunci Android palsu yang meniru tampilan asli untuk menangkap PIN, pola, atau password perangkat:

┌──────────────────────────┐
│   [Kunci]                 │
│   Masukkan PIN            │
│   ┌──┬──┬──┬──┐          │
│   │ 1│ 2│ 3│  │          │
│   ├──┼──┼──┤  │          │
│   │ 4│ 5│ 6│  │   ← PIN  │
│   ├──┼──┼──┤  │   dikirim │
│   │ 7│ 8│ 9│  │   ke C2  │
│   ├──┼──┼──┼──┤          │
│   │  │ 0│ OK│  │          │
│   └──┴──┴──┴──┘          │
│   Batal                   │
└──────────────────────────┘

3. Interception SMS & OTP

Rokarolla dapat membaca dan mengirim SMS, memungkinkan intersepsi kode OTP 2FA perbankan:

# Perintah C2 untuk membaca SMS
CMD: sms_read
Filter: bank, otp, kode, verifikasi, transaksi
Forward to: https://c2-malware[.]com/collect

4. Clipboard Hijacking — Ganti Alamat Crypto Wallet

Salah satu fitur paling berbahaya: Rokarolla memonitor clipboard perangkat dan secara otomatis mengganti alamat cryptocurrency wallet yang di-copy korban dengan alamat milik attacker:

Korban meng-copy:  0xAbC123DeF456...  (alamat tujuan transfer)
                     ▼
Rokarolla replace:  0xXyZ789Atk000...  (alamat wallet attacker)
                     ▼
Korban paste & kirim → Dana masuk ke wallet attacker

5. Snapshot-Based Surveillance

Rokarolla memiliki mekanisme unik: mengambil screenshot layar secara berkala dan mengirimkannya ke server C2. Ini memungkinkan attacker “melihat” apa yang dilakukan korban secara real-time — layaknya screen sharing tersembunyi.

6. Blokir Panggilan & Notifikasi

Malware dapat:

Memblokir panggilan masuk dari nomor tertentu (misalnya, verifikasi bank)
Menonaktifkan notifikasi dari aplikasi keamanan
Menyembunyikan pesan peringatan transaksi

Target: 217 Aplikasi Banking & Crypto

Berdasarkan analisis Zimperium zLabs, Rokarolla diprogram untuk mengenali dan menyerang 217 aplikasi spesifik yang mencakup:

Kategori	Jumlah Target	Contoh
Banking	140+	Bank internasional, mobile banking, fintech
Cryptocurrency	45+	Binance, Coinbase, MetaMask, Trust Wallet
E-Wallet	20+	PayPal, Google Pay, Apple Pay
Kartu Kredit	12+	Aplikasi manajemen kartu kredit

Target mencakup institusi keuangan di Amerika Utara, Eropa, Asia-Pasifik, dan Timur Tengah — menunjukkan skala operasi global di balik malware ini.

Infrastruktur Command & Control

Rokarolla menggunakan infrastruktur C2 yang tangguh:

# Karakteristik C2 Rokarolla
Protokol       : HTTPS (TLS 1.3)
Domain         : Multiple fallback domain
Commands       : 137+ perintah operator
Response       : JSON-encoded
Heartbeat      : Setiap 60 detik
Reconnect      : Otomatis dengan exponential backoff

Arsitektur modular dengan multiple fallback domain memastikan malware tetap beroperasi meskipun satu domain C2 berhasil di-takedown.

Teknik Evasi dan Stealth

Rokarolla menerapkan berbagai teknik untuk menghindari deteksi:

Sembunyikan ikon aplikasi — malware tidak muncul di app drawer
Nonaktifkan suara & getaran — menyembunyikan notifikasi transaksi
Force screen tetap aktif — mencegah perangkat terkunci saat operasi berlangsung
Coba nonaktifkan Google Play Protect — mengurangi kemungkinan terdeteksi
Enkripsi komunikasi C2 — semua traffic dienkripsi dengan TLS

Indicators of Compromise (IOC)

# Nama Package Terkait Rokarolla (CONTOH/SIMULASI)
com.android.protect
com.google.playprotect
com.system.update.service

# Permission yang Diminta
android.permission.BIND_ACCESSIBILITY_SERVICE
android.permission.SEND_SMS
android.permission.READ_SMS
android.permission.SYSTEM_ALERT_WINDOW
android.permission.BIND_NOTIFICATION_LISTENER_SERVICE

# Command & Control Pattern
POST /api/v1/heartbeat
POST /api/v1/screenshot
POST /api/v1/sms
POST /api/v1/clipboard
POST /api/v1/overlay

Mengapa Indonesia Perlu Waspada

Indonesia adalah salah satu pasar mobile banking dan cryptocurrency dengan pertumbuhan tercepat di Asia Tenggara. Beberapa faktor yang meningkatkan risiko:

Tingkat sideloading APK yang tinggi — budaya download APK dari luar Play Store
Penggunaan aplikasi mod/premium — seperti WhatsApp MOD, YouTube Vanced, Spotify MOD
Adopsi crypto yang pesat — target utama clipboard hijacking
Kesadaran keamanan mobile yang masih rendah — banyak pengguna memberikan izin tanpa membaca

Cara Melindungi Diri

Untuk Pengguna

Jangan sideload APK — hanya install dari Google Play Store resmi
Periksa izin aplikasi — waspada jika aplikasi tidak terkait aksesibilitas meminta Accessibility Service
Verifikasi tampilan login — jika aplikasi banking menampilkan antarmuka tidak biasa, tutup dan buka ulang dari ikon resmi
Periksa ulang alamat crypto — selalu verifikasi alamat wallet tujuan sebelum konfirmasi transfer
Gunakan security app — pasang solusi keamanan mobile yang memiliki behavioral detection
Aktifkan Google Play Protect — pastikan fitur ini selalu aktif

Untuk Developer & Institusi

Implementasikan anti-tampering — deteksi overlay dan aksesibilitas mencurigakan
Gunakan hardware-backed keystore — simpan kredensial di secure element
Edukasi nasabah — kampanye awareness tentang bahaya sideloading dan social engineering

Kesimpulan

Rokarolla adalah contoh nyata bagaimana malware Android telah berevolusi dari sekadar nuisance menjadi instrumen kejahatan finansial yang sangat canggih. Dengan 217 aplikasi target, 137 perintah operator, dan kemampuan full device takeover, malware ini adalah ancaman serius bagi siapa pun yang menggunakan ponsel untuk transaksi keuangan.

Pertahanan terbaik tetaplah tidak menginstal aplikasi dari sumber tidak dikenal, tidak peduli seberapa meyakinkan tawarannya. Sebuah APK “gratis” yang di-download dari luar Play Store bisa jadi berharga seluruh isi rekening bank Anda.

Artikel ini disusun berdasarkan analisis dari Zimperium zLabs, Malwarebytes, dan PolySwarm per Juni-Juli 2026.