// Simulate HOME / BACK / RECENTS … private void navHome() { performGlobalAction(GLOBAL_ACTION_HOME); } private void navBack() { performGlobalAction(GLOBAL_ACTION_BACK); } private void openRecents() { performGlobalAction(GLOBAL_ACTION_RECENTS); }

// Generic tap / swipe public void tap(float x, float y) { Path p = new Path(); p.moveTo(x, y); GestureDescription.StrokeDescription s = new GestureDescription.StrokeDescription(p, 0, 50); dispatchGesture(new GestureDescription.Builder().addStroke(s).build(), null, null); } }

</details>

Przy użyciu tylko tych dwóch API atakujący może:
* Odblokować ekran, otworzyć aplikację bankową, przejść po jej drzewie UI i wysłać formularz przelewu.
* Zaakceptować każde pojawiające się okno dialogowe z uprawnieniami.
* Zainstalować/aktualizować dodatkowe APK za pomocą Play Store intent.

---

## Wzorce nadużyć

### 1. Overlay Phishing (Credential Harvesting)
Do menedżera okien dodawany jest przezroczysty lub nieprzezroczysty `WebView`:
```java
WindowManager.LayoutParams lp = new WindowManager.LayoutParams(
MATCH_PARENT, MATCH_PARENT,
TYPE_ACCESSIBILITY_OVERLAY,                      // ⬅ bypasses SYSTEM_ALERT_WINDOW
FLAG_NOT_FOCUSABLE | FLAG_NOT_TOUCH_MODAL,       // touches still reach the real app
PixelFormat.TRANSLUCENT);
wm.addView(phishingView, lp);

The victim types credentials into the fake form while the background app receives the same gestures – no suspicious “draw over other apps” prompt is ever shown.

Szczegółowy przykład: sekcja Accessibility Overlay Phishing na stronie Tapjacking.

ClayRat exposes this capability with the show_block_screen / hide_block_screen commands that download overlay templates from the C2. Operators can switch layouts on the fly to:

• Zaciemnij panel tak, by ofiara uznała, że telefon jest wyłączony lub zablokowany, podczas gdy zautomatyzowane gesty wyłączają Play Protect lub przyznają dodatkowe uprawnienia.
• Wyświetl fałszywe panele system update / battery optimization, które uzasadniają dlaczego urządzenie jest „zajęte”, podczas gdy automatyzacja w tle nadal działa.
• Pokaż interaktywną klawiaturę PIN jako overlay, która odzwierciedla systemowy ekran blokady — malware przechwytuje każdą cyfrę i przesyła ją operatorowi zaraz po wpisaniu 4‑cyfrowego kodu.

Because TYPE_ACCESSIBILITY_OVERLAY windows never raise the SYSTEM_ALERT_WINDOW permission prompt, the victim only sees the decoy UI while the RAT keeps interacting with the real apps underneath.

2. On-Device Fraud automation

Malware families such as PlayPraetor maintain a persistent WebSocket channel where the operator can issue high-level commands (init, update, alert_arr, report_list, …). The service translates those commands into the low-level gestures above, achieving real-time unauthorized transactions that easily bypass multi-factor-authentication tied to that very device.

3. Screen streaming & monitoring

ClayRat upgrades the usual MediaProjection trick into a remote desktop stack:

1. turbo_screen triggers the MediaProjection consent dialog; the Accessibility service clicks “Start now” so the victim never intervenes.
2. With the resulting MediaProjection token it creates a VirtualDisplay backed by an ImageReader, keeps a ForegroundService alive, and drains frames on worker threads.
3. Frames are JPEG/PNG encoded according to the operator-supplied set_quality parameter (defaults to 60 when missing) and shipped over an HTTP→WebSocket upgrade advertising the custom ClayRemoteDesktop user-agent.
4. start_desktop / stop_desktop manage the capture threads while screen_tap, screen_swipe, input_text, press_home, press_back and press_recents replay gestures against the live framebuffer.

The result is a VNC-like feed delivered entirely through sanctioned APIs—no root or kernel exploits—yet it hands the attacker live situational awareness with millisecond latency.

4. Lock-screen credential theft & auto-unlock

ClayRat subscribes to TYPE_WINDOW_CONTENT_CHANGED / TYPE_VIEW_TEXT_CHANGED events emitted by com.android.systemui (Keyguard). It reconstructs whatever guard is active:

• PIN – obserwuje naciśnięcia klawiszy na klawiaturze numerycznej aż locker zgłosi ukończenie.
• Password – konkatenacja ciągów widocznych w focusowanym polu hasła dla każdego AccessibilityEvent.
• Pattern – rejestruje uporządkowane indeksy węzłów wywnioskowane z współrzędnych gestów na siatce 3×3.

Sekrety wraz z metadanymi (typ blokady + znacznik czasu) są serializowane do SharedPreferences pod lock_password_storage. Kiedy operator wysyła auto_unlock, serwis wybudza urządzenie za pomocą unlock_device / screen_on, odtwarza zapisane cyfry lub gesty przez dispatchGesture i cicho obejmuje keyguard, by kolejne workflow ODF mogły kontynuować.

5. Notification phishing & harvesting

A companion Notification Listener turns the shade into a phishing surface:

• get_push_notifications zrzuca wszystkie aktualnie widoczne powiadomienia, włącznie z wiadomościami OTP / MFA.
• Komenda notifications przełącza flagę notifications_enabled tak, że każdy przyszły payload z onNotificationPosted() jest strumieniowany do C2 w czasie rzeczywistym.
• send_push_notification pozwala operatorom tworzyć fałszywe, interaktywne powiadomienia podszywające się pod banki lub aplikacje czatu; każdy tekst wpisany przez ofiarę jest parsowany jako poświadczenia i natychmiast eksfiltrowany.

Because Accessibility can open/dismiss the notification shade programmatically, this method harvests secrets without touching the targeted apps.

6. Telephony & SMS command channel

After coercing the user into setting the RAT as the default SMS app, the following commands provide complete modem control:

• send_sms and retransmishion wysyłają dowolne lub odtworzone wiadomości na numery kontrolowane przez atakującego.
• messsms iteruje przez całą bazę kontaktów, aby rozsyłać phishingowe linki w celu pasożytniczego rozprzestrzeniania.
• make_call inicjuje połączenia głosowe wspierające scenariusze social-engineeringowe.
• get_sms_list / get_sms i get_call_log / get_calls zrzucają skrzynki odbiorcze i historię połączeń, dzięki czemu kody MFA lub metadane połączeń mogą być natychmiast nadużyte.

W połączeniu z nawigacją UI sterowaną przez Accessibility, ClayRat może otrzymać OTP przez powiadomienie/SMS i natychmiast go wpisać wewnątrz docelowej aplikacji bankowej lub korporacyjnej.

7. Discovery, collection & proxying

Additional ClayRat commands map the environment and keep C2 resilient:

• get_apps / get_apps_list enumerują zainstalowane pakiety (ATT&CK T1418).
• get_device_info raportuje model, wersję OS i stan baterii (T1426).
• get_cam / get_camera robią zdjęcia przednią kamerą, podczas gdy get_keylogger_data serializuje PINy blokady oraz hasła, opisy widoków i podpowiedzi zdrapane z wrażliwych pól.
• get_proxy_data pobiera adres proxy WebSocket, dopisuje unikalne ID urządzenia i uruchamia zadanie, które tuneluje HTTP/HTTPS przez ten sam dwukierunkowy kanał (T1481.002 / T1646).

PlayPraetor – command & control workflow

1. HTTP(S) heartbeat – iteracja po hard-coded liście aż jedna domena odpowie POST /app/searchPackageName z aktywnym C2.
2. WebSocket (port 8282) – dwukierunkowe komendy JSON:

• update – wypchnięcie nowej konf/APKów
• alert_arr – konfiguracja szablonów overlay
• report_list – wysłanie listy docelowych package names
• heartbeat_web – keep-alive

3. RTMP (port 1935) – live streaming ekranu/wideo.
4. REST exfiltration –

• /app/saveDevice (fingerprint)
• /app/saveContacts | /app/saveSms | /app/uploadImageBase64
• /app/saveCardPwd (bank creds)

The AccessibilityService is the local engine that turns those cloud commands into physical interactions.

Detecting malicious accessibility services

• adb shell settings get secure enabled_accessibility_services
• Settings → Accessibility → Downloaded services – szukaj aplikacji, które nie pochodzą z Google Play.
• MDM / EMM solutions can enforce ACCESSIBILITY_ENFORCEMENT_DEFAULT_DENY (Android 13+) to block sideloaded services.
• Analyse running services:

adb shell dumpsys accessibility | grep "Accessibility Service"

Hardening recommendations for app developers

• Mark sensitive views with android:accessibilityDataSensitive="accessibilityDataPrivateYes" (API 34+).
• Combine setFilterTouchesWhenObscured(true) with FLAG_SECURE to prevent tap/overlay hijacking.
• Detect overlays by polling WindowManager.getDefaultDisplay().getFlags() or the ViewRootImpl API.
• Refuse to operate when Settings.canDrawOverlays() or a non-trusted Accessibility service is active.

ATS automation cheat-sheet (Accessibility-driven)

Malware can fully automate a bank app with only Accessibility APIs. Generic primitives:

private void dumpTree(AccessibilityNodeInfo n, String indent, StringBuilder sb){
if (n==null) return;
Rect b = new Rect(); n.getBoundsInScreen(b);
CharSequence txt = n.getText(); CharSequence cls = n.getClassName();
sb.append(indent).append("[").append(cls).append("] ")
.append(txt==null?"":txt).append(" ")
.append(b.toShortString()).append("\n");
for (int i=0;i<n.getChildCount();i++) dumpTree(n.getChild(i), indent+"  ", sb);
}

DevicePolicyManager dpm = (DevicePolicyManager) getSystemService(DEVICE_POLICY_SERVICE);
ComponentName admin = new ComponentName(this, AdminReceiver.class);

// 1) Immediate lock
dpm.lockNow();

// 2) Force credential change (expire current PIN/password)
dpm.setPasswordExpirationTimeout(admin, 1L); // may require owner/profile-owner on recent Android

// 3) Disable biometric unlock to force PIN/pattern entry
int flags = DevicePolicyManager.KEYGUARD_DISABLE_FINGERPRINT |
DevicePolicyManager.KEYGUARD_DISABLE_TRUST_AGENTS;
dpm.setKeyguardDisabledFeatures(admin, flags);