Hirudo: il trojan Android che sostituisce le app bancarie

Il 14 ottobre 2026 ThreatFabric ha pubblicato l’analisi di Hirudo, un malware Android che unisce un trojan bancario e un RAT completo. La novità è il modo in cui attacca le app delle banche: invece di sovrapporre una schermata di login falsa all’app vera, disinstalla l’app originale e la sostituisce con una copia modificata che spegne dall’interno i controlli di sicurezza dell’app stessa.

La notizia è stata ripresa da BleepingComputer, The Hacker News, SecurityWeek e Security Affairs. I dettagli tecnici di seguito vengono dal rapporto di ThreatFabric, come riportato dalle testate.

Chi colpisce

Secondo ThreatFabric, Hirudo contiene un elenco di 42 app finanziarie, ma solo per 8 app di 7 banche indonesiane esiste già una copia modificata da scaricare. Le fonti citano anche Cina, India, Messico, Marocco e Thailandia, con sfumature diverse: per BleepingComputer e Security Affairs il malware prende già di mira anche utenti e banche di quei paesi, mentre per SecurityWeek il codice interno indica che potrebbe essere usato anche contro di loro. Nessuna fonte cita obiettivi in Europa.

Il numero delle vittime non è noto. Il pannello con cui l’operatore assembla dropper e app modificate era raggiungibile senza autenticazione, con bucket cloud e credenziali esposti: nei dati di agosto 2026 ci sono migliaia di credenziali, dati dei dispositivi, cronologia delle schermate di blocco e profili finanziari con reddito mensile e punteggio di rischio. Secondo Security Affairs gli operatori segnavano come “phished” i record già sfruttati, segno di un processo organizzato per trasformare i dati rubati in frodi.

La catena di attacco

Distribuzione. Hirudo arriva dentro dropper che sembrano app legittime e funzionano davvero: shopping (Shopora), contenuti per adulti (1V1 X), mini-serie (ZoyaTV, KoiShort), promosse sui social network secondo SecurityWeek. Le app caricano contenuti veri in una WebView. Secondo Security Affairs i download passano da Amazon CloudFront, con l’attribuzione delle campagne tramite OpenInstall e ID di Meta Pixel; alcuni percorsi di download erano ancora attivi tra la fine di settembre e ottobre 2026.

Installazione. Se sul telefono c’è un’app bancaria e Hirudo non è ancora installato, il dropper mostra un finto aggiornamento. Un dropper analizzato crea durante l’installazione una VPN volutamente difettosa che toglie la connessione a internet: per ThreatFabric serve a indebolire i controlli di reputazione e l’analisi online dell’APK, senza aggirare del tutto Google Play Protect (dettaglio riportato solo da Security Affairs). Hirudo è un’app separata dal dropper e deve ottenere i propri permessi di Accessibilità e di notifica.

Sostituzione dell’app. Hirudo riconosce l’app bancaria tramite i servizi di Accessibilità, ne confronta il certificato di firma con un riferimento salvato, mostra un finto “aggiornamento”, apre il programma di disinstallazione di Android senza attendere il tocco dell’utente e intanto scarica la copia preparata per quella banca, che poi installa sfruttando l’Accessibilità. La copia ha lo stesso nome di pacchetto e lo stesso numero di versione, ma è firmata con una chiave di test pubblica: Android non la installerebbe come aggiornamento sopra l’app originale, che quindi va prima rimossa. Per ThreatFabric è il passaggio più delicato: la vittima può interromperlo in due momenti.

Il motore di hooking dentro l’app bancaria

Il codice della banca resta quasi intatto: viene aggiunta una sola riga nella classe Application, che all’avvio carica un motore di hooking basato su due framework open source, YAHFA (metodi Java) e Dobby (funzioni native). Il motore si attiva solo se trova un file di attivazione creato da Hirudo sul dispositivo; senza quel file l’app modificata sembra innocua.

Una volta attivo, il motore:

• restituisce il certificato di firma autentico quando l’app lo chiede, nascondendo la firma di test;
• risponde con un elenco vuoto quando l’app controlla i servizi di Accessibilità attivi, così il servizio che la comanda resta invisibile;
• toglie la protezione dalle catture dello schermo, per vedere e registrare l’app da remoto;
• modifica i certificati di key attestation e inoltra le richieste Play Integrity in HTTP in chiaro a un server dell’operatore, che restituisce un esito accettabile.

C’è un limite: il keybox usato per l’attestazione è trapelato pubblicamente e Google ha messo almeno due dei suoi certificati nella lista di revoca, quindi un controllo di revoca lato server può riconoscere le falsificazioni.

Cosa fa sul telefono

Hirudo ruba password bancarie, PIN di pagamento, codici di sblocco del dispositivo e SMS (secondo SecurityWeek con una prima scansione degli ultimi 90 giorni e un elenco di mittenti di banche e wallet). Trasmette lo schermo in diretta tramite WebRTC, accede a entrambe le fotocamere, registra l’audio (secondo BleepingComputer) e comanda il telefono da remoto tramite l’Accessibilità. Pagine di pagamento false raccolgono il PIN e poi mostrano un pagamento riuscito che non è mai avvenuto.

MITRE ATT&CK for Mobile (nostra mappatura dai fatti riportati): T1453 (Abuse Accessibility Features), T1655.001 (Masquerading: Match Legitimate Name or Location), T1629.003 (Impair Defenses: Disable or Modify Tools), T1417.002 (Input Capture: GUI Input Capture), T1636.004 (Protected User Data: SMS Messages), T1513 (Screen Capture), T1512 (Video Capture), T1429 (Audio Capture), T1544 (Ingress Tool Transfer).

Impatto per le aziende europee e italiane

Oggi Hirudo non colpisce banche europee. Il punto, per ThreatFabric, è il metodo: un motore riutilizzabile che si può adattare ad altre app e ad altre regioni, e che sposta lo scontro dal dispositivo ai controlli di integrità interni all’app. Chi sviluppa app bancarie, di pagamento o comunque sensibili non può più considerare affidabili, da soli, i segnali prodotti in locale da un’app che potrebbe essere stata sostituita: firma, elenco dei servizi di Accessibilità, esito di Play Integrity. Per banche e istituti di pagamento europei il tema rientra nella gestione del rischio ICT prevista dal regolamento DORA.

Per le altre aziende il rischio passa dai telefoni dei dipendenti: un dispositivo comandato da remoto tramite l’Accessibilità espone anche le app aziendali, i codici di autenticazione via SMS e tutto ciò che compare sullo schermo.

Cosa fare subito

Per banche, fintech e sviluppatori di app (indicazioni di ThreatFabric):

1. Verifica Play Integrity e l’attestazione lato server e decidi lì: un verdetto valido da solo non basta, perché Hirudo inoltra le richieste al proprio server. Controlla anche la revoca dei certificati di attestazione.
2. Lega i controlli alla sessione e alle operazioni protette, non solo all’avvio dell’app.
3. Usa i segnali di Accessibilità e di cattura dello schermo come indizi per il punteggio di rischio, non come blocchi: un’app sostituita può nasconderli.
4. Mantieni l’analisi comportamentale (anche la mancanza di dati comportamentali è sospetta) e i controlli di rischio lato server su login, recupero delle credenziali, aggiunta di beneficiari e approvazione dei pagamenti.

Per i responsabili IT:

1. Tieni aggiornati i telefoni aziendali e blocca, con il sistema di gestione dei dispositivi, l’installazione di APK da fonti sconosciute.
2. Fai eseguire periodicamente la scansione di Play Protect.
3. Controlla questi segnali: servizi di Accessibilità attivi per app sconosciute, app bancarie reinstallate di recente o “aggiornate” fuori dal Play Store, app di shopping o di video installate da link sui social network.

Come aiuta ARXDOME

Sui telefoni non si installa un agent: la visibilità passa dalla rete. ARX Watch avvisa quando sulla rete aziendale compare un dispositivo nuovo o non autorizzato, e ARX Sentry porta i log dei firewall nelle pagine del SOC, con il traffico in uscita bloccato e le sorgenti presenti nelle liste di minacce. Con ARX Horizon puoi cercare dal portale gli indicatori di compromissione pubblicati.

Ultimo aggiornamento: 15 ottobre 2026