// Simulate HOME / BACK / RECENTS … private void navHome() { performGlobalAction(GLOBAL_ACTION_HOME); } private void navBack() { performGlobalAction(GLOBAL_ACTION_BACK); } private void openRecents() { performGlobalAction(GLOBAL_ACTION_RECENTS); }

// Generic tap / swipe public void tap(float x, float y) { Path p = new Path(); p.moveTo(x, y); GestureDescription.StrokeDescription s = new GestureDescription.StrokeDescription(p, 0, 50); dispatchGesture(new GestureDescription.Builder().addStroke(s).build(), null, null); } }

</details>

Sa samo ova dva API-ja napadač može:
* Otključati ekran, otvoriti bankarsku aplikaciju, navigirati njegovim UI tree i podneti obrazac za prenos sredstava.
* Prihvatiti svaki dijalog za dozvole koji iskače.
* Instalirati/ažurirati dodatne APK-ove preko Play Store intent-a.

---

## Obrasci zloupotrebe

### 1. Overlay Phishing (Credential Harvesting)
Prozirni ili neprozirni `WebView` se dodaje u window manager:
```java
WindowManager.LayoutParams lp = new WindowManager.LayoutParams(
MATCH_PARENT, MATCH_PARENT,
TYPE_ACCESSIBILITY_OVERLAY,                      // ⬅ bypasses SYSTEM_ALERT_WINDOW
FLAG_NOT_FOCUSABLE | FLAG_NOT_TOUCH_MODAL,       // touches still reach the real app
PixelFormat.TRANSLUCENT);
wm.addView(phishingView, lp);

Žrtva unosi kredencijale u lažni formular dok pozadinska aplikacija prima iste geste – nikada se ne prikaže sumnjivi “draw over other apps” prompt.

Detaljan primer: odeljak Accessibility Overlay Phishing na stranici Tapjacking.

ClayRat izlaže ovu mogućnost pomoću komandi show_block_screen / hide_block_screen koje preuzimaju overlay template-ove sa C2. Operateri mogu dinamički menjati rasporede da:

• Black out panel tako da žrtva pretpostavi da je uređaj isključen ili zamrznut dok automatizovane geste isključuju Play Protect ili odobravaju više dozvola.
• Prikažu lažne system update / battery optimization panele koji opravdavaju zašto je uređaj “zauzet” dok pozadinska automatizacija nastavlja.
• Pokažu interactive PIN pad overlay koji preslikava sistemski lock screen — malware hvata svaku cifru i strimuje je operateru čim se unese 4‑digit kod.

Pošto TYPE_ACCESSIBILITY_OVERLAY prozori nikada ne podižu SYSTEM_ALERT_WINDOW permission prompt, žrtva vidi samo mamac UI dok RAT nastavlja da interaguje sa pravim aplikacijama ispod.

2. Automatizacija prevara na uređaju

Maliciozne porodice poput PlayPraetor održavaju persistentan WebSocket kanal gde operater može izdavati visokonivo komandi (init, update, alert_arr, report_list, …). Servis prevodi te komande u niskonivo geste opisane iznad, postižući real‑time neautorizovane transakcije koje lako zaobilaze višefaktorsku autentifikaciju vezanu za taj uređaj.

3. Streamovanje i nadzor ekrana

ClayRat unapređuje uobičajeni MediaProjection trik u remote desktop stack:

1. turbo_screen pokreće MediaProjection consent dialog; Accessibility service klikne “Start now” tako da žrtva nikada ne interveniše.
2. Sa dobijenim MediaProjection tokenom kreira VirtualDisplay podržan ImageReader-om, održava ForegroundService živim i izvlači frejmove na worker thread-ovima.
3. Frejmovi se JPEG/PNG enkoduju prema operaterom zadatom set_quality parametru (podrazumevano 60 ako nedostaje) i šalju preko HTTP→WebSocket upgrade-a koji reklamira custom ClayRemoteDesktop user‑agent.
4. start_desktop / stop_desktop upravljaju capture thread-ovima dok screen_tap, screen_swipe, input_text, press_home, press_back i press_recents reprodukuju geste protiv live framebuffer‑a.

Rezultat je VNC‑sličan feed isporučen potpuno kroz odobrene API-je — bez root ili kernel exploit-a — a ipak daje napadaču živu situacionu svest sa milisekundnom latencijom.

4. Krađa kredencijala sa zaključanog ekrana i automatsko otključavanje

ClayRat se pretplaćuje na TYPE_WINDOW_CONTENT_CHANGED / TYPE_VIEW_TEXT_CHANGED događaje emitovane od strane com.android.systemui (Keyguard). Rekonstruiše koji god zaštitnik je aktivan:

• PIN – prati pritiske tastera na numeričkoj tastaturi dok locker ne prijavi završetak.
• Password – konkatenira stringove viđene u fokusiranom password polju za svaki AccessibilityEvent.
• Pattern – beleži redosled indeksa čvorova izveden iz koordinata gesta preko 3×3 mreže.

Tajne zajedno sa metadata-om (tip zaključavanja + timestamp) serijalizuju se u SharedPreferences pod lock_password_storage. Kada operater pošalje auto_unlock, servis budi uređaj sa unlock_device / screen_on, reprodukuje sačuvane cifre ili geste kroz dispatchGesture i tiho zaobilazi keyguard tako da sledeći ODF workflow-i mogu da nastave.

5. Phishing i prikupljanje notifikacija

Prateći Notification Listener pretvara shade u phishing površinu:

• get_push_notifications isprazni svaku trenutno vidljivu notifikaciju, uključujući OTP / MFA poruke.
• Komanda notifications uključuje/isključuje notifications_enabled flag tako da svaki budući onNotificationPosted() payload bude strimovan ka C2 u realnom vremenu.
• send_push_notification dozvoljava operaterima da kreiraju lažne, interaktivne notifikacije koje se predstavljaju kao banking ili chat aplikacije; svaki tekst koji žrtva unese se parsira kao kredencijali i odmah eksfiltrira.

Pošto Accessibility može programatski otvoriti/zatvoriti notification shade, ova metoda bere tajne bez dodirivanja ciljnih aplikacija.

6. Telefonski i SMS kanal komandi

Nakon što se korisnik prisili da postavi RAT kao default SMS aplikaciju, sledeće komande pružaju potpunu kontrolu modema:

• send_sms i retransmishion šalju proizvoljne ili prenete poruke na brojeve pod kontrolom napadača.
• messsms iterira preko cele contacts baze da spamuje phishing linkove za worm‑like propagaciju.
• make_call inicira glasovne pozive koji podržavaju social‑engineering tokove.
• get_sms_list / get_sms i get_call_log / get_calls dump-uju inbox i istoriju poziva tako da se MFA kodovi ili metapodaci poziva mogu odmah zloupotrebiti.

U kombinaciji sa Accessibility‑pokretanim navigacijama UI‑jem, ClayRat može primiti OTP putem notifikacije/SMS-a i odmah ga uneti u ciljnu banking ili enterprise aplikaciju.

7. Otkrivanje, prikupljanje i proksiranje

Dodatne ClayRat komande mapiraju okruženje i održavaju C2 resilientnim:

• get_apps / get_apps_list nabrajaju instalirane pakete (ATT&CK T1418).
• get_device_info izveštava model, verziju OS-a i stanje baterije (T1426).
• get_cam / get_camera hvataju slike prednje kamere, dok get_keylogger_data serijalizuje lock PIN-ove plus password-e, opise view‑ova i hints iskidane iz osetljivih polja.
• get_proxy_data preuzima proxy WebSocket URL, dodaje jedinstveni device ID i pokreće job koji tuneluje HTTP/HTTPS preko istog dvosmernog kanala (T1481.002 / T1646).

PlayPraetor – tok komandi i kontrole

1. HTTP(S) heartbeat – iteracija kroz hard‑coded listu dok jedan domen ne odgovori POST /app/searchPackageName sa aktivnim C2.
2. WebSocket (port 8282) – bidirekcionе JSON komande:

• update – push novih conf/APK-ova
• alert_arr – konfiguracija overlay template-ova
• report_list – slanje liste ciljnih package imena
• heartbeat_web – keep‑alive

3. RTMP (port 1935) – live screen/video stream.
4. REST exfiltration –

• /app/saveDevice (fingerprint)
• /app/saveContacts | /app/saveSms | /app/uploadImageBase64
• /app/saveCardPwd (bank creds)

AccessibilityService je lokalni engine koji te cloud komande pretvara u fizičke interakcije.

Otkrivanje malicioznih accessibility servisa

• adb shell settings get secure enabled_accessibility_services
• Settings → Accessibility → Downloaded services – potražite aplikacije koje nisu iz Google Play.
• MDM / EMM rešenja mogu nametnuti ACCESSIBILITY_ENFORCEMENT_DEFAULT_DENY (Android 13+) da blokiraju sideloaded servise.
• Analizirajte pokrenute servise:

adb shell dumpsys accessibility | grep "Accessibility Service"

Preporuke za jačanje bezbednosti za developere aplikacija

• Obeležite osetljive view‑ove sa android:accessibilityDataSensitive="accessibilityDataPrivateYes" (API 34+).
• Kombinujte setFilterTouchesWhenObscured(true) sa FLAG_SECURE da sprečite tap/overlay hijacking.
• Detektujte overlay‑e polling‑om WindowManager.getDefaultDisplay().getFlags() ili ViewRootImpl API‑jem.
• Odbijte rad kada Settings.canDrawOverlays() ili nepouzdan Accessibility servis bude aktivan.

ATS automation cheat-sheet (Accessibility-driven)

Malware može u potpunosti automatizovati bank app koristeći samo Accessibility API‑je. Generičke primitive:

private void dumpTree(AccessibilityNodeInfo n, String indent, StringBuilder sb){
if (n==null) return;
Rect b = new Rect(); n.getBoundsInScreen(b);
CharSequence txt = n.getText(); CharSequence cls = n.getClassName();
sb.append(indent).append("[").append(cls).append("] ")
.append(txt==null?"":txt).append(" ")
.append(b.toShortString()).append("\n");
for (int i=0;i<n.getChildCount();i++) dumpTree(n.getChild(i), indent+"  ", sb);
}

DevicePolicyManager dpm = (DevicePolicyManager) getSystemService(DEVICE_POLICY_SERVICE);
ComponentName admin = new ComponentName(this, AdminReceiver.class);

// 1) Immediate lock
dpm.lockNow();

// 2) Force credential change (expire current PIN/password)
dpm.setPasswordExpirationTimeout(admin, 1L); // may require owner/profile-owner on recent Android

// 3) Disable biometric unlock to force PIN/pattern entry
int flags = DevicePolicyManager.KEYGUARD_DISABLE_FINGERPRINT |
DevicePolicyManager.KEYGUARD_DISABLE_TRUST_AGENTS;
dpm.setKeyguardDisabledFeatures(admin, flags);