Hirudo: el troyano Android que sustituye las apps bancarias

El 14 de octubre de 2026 ThreatFabric publicó su análisis de Hirudo, un malware para Android que combina un troyano bancario y un RAT completo. La novedad es cómo ataca las apps de los bancos: en lugar de superponer una pantalla de inicio de sesión falsa sobre la app real, desinstala la app original y la sustituye por una copia modificada que desactiva desde dentro los controles de seguridad de la propia app.

La noticia la recogieron BleepingComputer, The Hacker News, SecurityWeek y Security Affairs. Los detalles técnicos que siguen proceden del informe de ThreatFabric, tal como lo recogen estos medios.

A quién ataca

Según ThreatFabric, Hirudo contiene una lista de 42 apps financieras, pero solo para 8 apps de 7 bancos indonesios existe ya una copia modificada lista para descargar. Las fuentes mencionan también China, India, México, Marruecos y Tailandia, con matices distintos: para BleepingComputer y Security Affairs el malware ya ataca también a usuarios y bancos de esos países, mientras que para SecurityWeek el código interno indica que podría usarse también contra ellos. Ninguna fuente menciona objetivos en Europa.

No se conoce el número de víctimas. El panel con el que el operador construye los droppers y las apps modificadas era accesible sin autenticación, con buckets en la nube y credenciales expuestos: en los datos de agosto de 2026 hay miles de credenciales, datos de los dispositivos, historial de pantallas de bloqueo y perfiles financieros con ingresos mensuales y puntuación de riesgo. Según Security Affairs, los operadores marcaban como “phished” los registros ya explotados, señal de un proceso organizado para convertir los datos robados en fraudes.

La cadena de ataque

Distribución. Hirudo llega dentro de droppers que parecen apps legítimas y funcionan de verdad: compras (Shopora), contenido para adultos (1V1 X), miniseries (ZoyaTV, KoiShort), promocionadas en redes sociales según SecurityWeek. Las apps cargan contenido real en un WebView. Según Security Affairs, las descargas se sirven desde Amazon CloudFront, con atribución de campañas mediante OpenInstall e ID de Meta Pixel; algunas rutas de descarga seguían activas entre finales de septiembre y octubre de 2026.

Instalación. Si en el teléfono hay una app bancaria y Hirudo aún no está instalado, el dropper muestra una falsa actualización. Uno de los droppers analizados crea durante la instalación una VPN defectuosa a propósito que corta la conexión a internet: para ThreatFabric sirve para debilitar los controles de reputación y el análisis en línea del APK, sin eludir del todo Google Play Protect (detalle que recoge solo Security Affairs). Hirudo es una app separada del dropper y debe obtener sus propios permisos de Accesibilidad y de notificaciones.

Sustitución de la app. Hirudo detecta la app bancaria mediante los servicios de Accesibilidad, compara su certificado de firma con una referencia guardada, muestra una falsa “actualización”, abre el desinstalador de Android sin esperar a que el usuario toque y, mientras tanto, descarga la copia preparada para ese banco, que luego instala abusando de la Accesibilidad. La copia tiene el mismo nombre de paquete y el mismo número de versión, pero está firmada con una clave de prueba pública: Android no la instalaría como actualización sobre la app original, que por eso debe eliminarse antes. Para ThreatFabric es el paso más delicado: la víctima puede interrumpirlo en dos momentos.

El motor de hooking dentro de la app bancaria

El código del banco queda casi intacto: se añade una sola línea en la clase Application, que al arrancar carga un motor de hooking basado en dos frameworks de código abierto, YAHFA (métodos Java) y Dobby (funciones nativas). El motor solo se activa si encuentra un archivo de activación creado por Hirudo en el dispositivo; sin ese archivo, la app modificada parece inofensiva.

Una vez activo, el motor:

• devuelve el certificado de firma auténtico cuando la app lo pide, ocultando la firma de prueba;
• responde con una lista vacía cuando la app comprueba los servicios de Accesibilidad activos, de modo que el servicio que la controla queda invisible;
• quita la protección contra capturas de pantalla, para ver y grabar la app en remoto;
• modifica los certificados de key attestation y reenvía las solicitudes de Play Integrity por HTTP sin cifrar a un servidor del operador, que devuelve un resultado aceptable.

Hay un límite: el keybox usado para la atestación se ha filtrado públicamente y Google ha incluido al menos dos de sus certificados en su lista de revocación, así que una comprobación de revocación en el servidor puede detectar las falsificaciones.

Qué hace en el teléfono

Hirudo roba contraseñas bancarias, PIN de pago, códigos de desbloqueo del dispositivo y SMS (según SecurityWeek, con un primer escaneo de los últimos 90 días y una lista de remitentes de bancos y monederos). Transmite la pantalla en directo mediante WebRTC, accede a ambas cámaras, graba audio (según BleepingComputer) y controla el teléfono en remoto mediante la Accesibilidad. Páginas de pago falsas recogen el PIN y luego muestran un pago correcto que nunca se ha hecho.

MITRE ATT&CK for Mobile (nuestra correspondencia a partir de los hechos publicados): T1453 (Abuse Accessibility Features), T1655.001 (Masquerading: Match Legitimate Name or Location), T1629.003 (Impair Defenses: Disable or Modify Tools), T1417.002 (Input Capture: GUI Input Capture), T1636.004 (Protected User Data: SMS Messages), T1513 (Screen Capture), T1512 (Video Capture), T1429 (Audio Capture), T1544 (Ingress Tool Transfer).

Impacto para las empresas europeas e italianas

Hoy Hirudo no ataca a bancos europeos. Lo importante, para ThreatFabric, es el método: un motor reutilizable que puede adaptarse a otras apps y otras regiones, y que traslada el enfrentamiento del dispositivo a los controles de integridad internos de la app. Quien desarrolla apps bancarias, de pago o sensibles en general ya no puede considerar fiables, por sí solas, las señales que produce en local una app que podría haber sido sustituida: firma, lista de servicios de Accesibilidad, veredicto de Play Integrity. Para los bancos y las entidades de pago europeas, el tema forma parte de la gestión del riesgo TIC que exige el reglamento DORA.

Para las demás empresas, el riesgo llega a través de los teléfonos de los empleados: un dispositivo controlado en remoto mediante la Accesibilidad expone también las apps corporativas, los códigos de autenticación por SMS y todo lo que aparece en pantalla.

Qué hacer ya

Para bancos, fintech y desarrolladores de apps (recomendaciones de ThreatFabric):

1. Verifica Play Integrity y la atestación en el servidor y decide allí: un veredicto válido por sí solo no basta, porque Hirudo reenvía las solicitudes a su propio servidor. Comprueba también la revocación de los certificados de atestación.
2. Vincula los controles a la sesión y a las operaciones protegidas, no solo al arranque de la app.
3. Usa las señales de Accesibilidad y de captura de pantalla como indicios para la puntuación de riesgo, no como bloqueos: una app sustituida puede ocultarlas.
4. Mantén el análisis de comportamiento (la falta de datos de comportamiento ya es sospechosa) y los controles de riesgo en el servidor en el inicio de sesión, la recuperación de credenciales, el alta de beneficiarios y la aprobación de pagos.

Para los responsables de TI:

1. Mantén actualizados los teléfonos de la empresa y bloquea, con tu sistema de gestión de dispositivos, la instalación de APK de orígenes desconocidos.
2. Haz que se ejecute periódicamente el análisis de Play Protect.
3. Vigila estas señales: servicios de Accesibilidad activos para apps desconocidas, apps bancarias reinstaladas hace poco o “actualizadas” fuera de Play Store, apps de compras o de vídeo instaladas desde enlaces en redes sociales.

Cómo ayuda ARXDOME

En los teléfonos no se instala un agente: la visibilidad llega desde la red. ARX Watch te avisa cuando aparece en la red de la empresa un dispositivo nuevo o no autorizado, y ARX Sentry lleva los logs de los firewalls a las páginas del SOC, con el tráfico saliente bloqueado y los orígenes que figuran en listas de amenazas. Con ARX Horizon puedes buscar desde el portal los indicadores de compromiso publicados.

Última actualización: 15 de octubre de 2026