Hirudo: troianul Android care înlocuiește aplicațiile bancare

Pe 14 octombrie 2026, ThreatFabric a publicat analiza Hirudo, un malware Android care combină un troian bancar cu un RAT complet. Noutatea este felul în care atacă aplicațiile băncilor: în loc să suprapună un ecran de autentificare fals peste aplicația reală, dezinstalează aplicația originală și o înlocuiește cu o copie modificată, care dezactivează din interior controalele de securitate ale aplicației.

Știrea a fost preluată de BleepingComputer, The Hacker News, SecurityWeek și Security Affairs. Detaliile tehnice care urmează provin din raportul ThreatFabric, așa cum l-au prezentat aceste publicații.

Pe cine vizează

Potrivit ThreatFabric, Hirudo conține o listă de 42 de aplicații financiare, dar o copie modificată gata de descărcat există doar pentru 8 aplicații ale unor 7 bănci indoneziene. Sursele menționează și China, India, Mexicul, Marocul și Thailanda, cu nuanțe diferite: pentru BleepingComputer și Security Affairs, malware-ul vizează deja și utilizatori și bănci din aceste țări, în timp ce pentru SecurityWeek codul intern arată că ar putea fi folosit și împotriva lor. Nicio sursă nu menționează ținte în Europa.

Numărul victimelor nu este cunoscut. Panoul cu care operatorul construiește dropperele și aplicațiile modificate era accesibil fără autentificare, cu bucketuri cloud și credențiale expuse: în datele din august 2026 se află mii de credențiale, date despre dispozitive, istoricul ecranelor de blocare și profiluri financiare cu venitul lunar și un scor de risc. Potrivit Security Affairs, operatorii marcau drept „phished” înregistrările deja exploatate, semn al unui proces organizat pentru a transforma datele furate în fraude.

Lanțul de atac

Distribuție. Hirudo ajunge în droppere care arată ca aplicații legitime și chiar funcționează: cumpărături (Shopora), conținut pentru adulți (1V1 X), miniseriale (ZoyaTV, KoiShort), promovate pe rețelele sociale potrivit SecurityWeek. Aplicațiile încarcă conținut real într-un WebView. Potrivit Security Affairs, descărcările sunt servite din Amazon CloudFront, cu atribuirea campaniilor prin OpenInstall și ID-uri Meta Pixel; unele căi de descărcare erau încă active între sfârșitul lunii septembrie și octombrie 2026.

Instalare. Dacă pe telefon există o aplicație bancară și Hirudo nu este încă instalat, dropperul afișează o actualizare falsă. Unul dintre dropperele analizate creează în timpul instalării un VPN defect în mod intenționat, care taie conexiunea la internet: pentru ThreatFabric, scopul este să slăbească verificările de reputație și analiza online a APK-ului, fără a ocoli complet Google Play Protect (detaliu raportat doar de Security Affairs). Hirudo este o aplicație separată de dropper și trebuie să obțină propriile permisiuni de Accesibilitate și de notificări.

Înlocuirea aplicației. Hirudo recunoaște aplicația bancară prin serviciile de Accesibilitate, îi compară certificatul de semnare cu o referință salvată, afișează o „actualizare” falsă, deschide programul de dezinstalare Android fără să aștepte atingerea utilizatorului și, între timp, descarcă copia pregătită pentru banca respectivă, pe care o instalează apoi abuzând de Accesibilitate. Copia are același nume de pachet și același număr de versiune, dar este semnată cu o cheie de test publică: Android nu ar instala-o ca actualizare peste aplicația originală, care trebuie deci eliminată mai întâi. Pentru ThreatFabric, acesta este pasul cel mai delicat: victima îl poate întrerupe în două momente.

Motorul de hooking din aplicația bancară

Codul băncii rămâne aproape neatins: se adaugă o singură linie în clasa Application, care la pornire încarcă un motor de hooking bazat pe două framework-uri open source, YAHFA (metode Java) și Dobby (funcții native). Motorul se activează doar dacă găsește pe dispozitiv un fișier de activare creat de Hirudo; fără acest fișier, aplicația modificată pare inofensivă.

Odată activ, motorul:

• returnează certificatul de semnare autentic când aplicația îl cere, ascunzând semnătura de test;
• răspunde cu o listă goală când aplicația verifică serviciile de Accesibilitate active, astfel încât serviciul care o controlează rămâne invizibil;
• elimină protecția împotriva capturilor de ecran, pentru a vedea și înregistra aplicația de la distanță;
• modifică certificatele de key attestation și redirecționează cererile Play Integrity prin HTTP necriptat către un server al operatorului, care returnează un rezultat acceptabil.

Există o limită: keybox-ul folosit pentru atestare a fost divulgat public, iar Google a trecut cel puțin două dintre certificatele sale pe lista de revocare, așa că o verificare a revocării pe server poate depista falsificările.

Ce face pe telefon

Hirudo fură parole bancare, PIN-uri de plată, coduri de deblocare a dispozitivului și SMS-uri (potrivit SecurityWeek, cu o primă scanare a ultimelor 90 de zile și o listă de expeditori ai băncilor și portofelelor digitale). Transmite ecranul în direct prin WebRTC, accesează ambele camere, înregistrează sunetul (potrivit BleepingComputer) și controlează telefonul de la distanță prin Accesibilitate. Pagini de plată false colectează PIN-ul și apoi afișează o plată reușită care nu a avut loc niciodată.

MITRE ATT&CK for Mobile (corespondența noastră pe baza faptelor raportate): T1453 (Abuse Accessibility Features), T1655.001 (Masquerading: Match Legitimate Name or Location), T1629.003 (Impair Defenses: Disable or Modify Tools), T1417.002 (Input Capture: GUI Input Capture), T1636.004 (Protected User Data: SMS Messages), T1513 (Screen Capture), T1512 (Video Capture), T1429 (Audio Capture), T1544 (Ingress Tool Transfer).

Impactul pentru companiile europene și italiene

Deocamdată, Hirudo nu vizează bănci europene. Important, pentru ThreatFabric, este metoda: un motor reutilizabil, care poate fi adaptat altor aplicații și altor regiuni și care mută confruntarea de pe dispozitiv la controalele de integritate din interiorul aplicației. Cine dezvoltă aplicații bancare, de plăți sau sensibile în general nu mai poate considera de încredere, luate separat, semnalele produse local de o aplicație care ar fi putut fi înlocuită: semnătura, lista serviciilor de Accesibilitate, verdictul Play Integrity. Pentru băncile și instituțiile de plată europene, subiectul ține de gestionarea riscului TIC cerută de regulamentul DORA.

Pentru celelalte companii, riscul vine prin telefoanele angajaților: un dispozitiv controlat de la distanță prin Accesibilitate expune și aplicațiile de business, codurile de autentificare prin SMS și tot ce apare pe ecran.

Ce să faci acum

Pentru bănci, fintech și dezvoltatori de aplicații (recomandările ThreatFabric):

1. Verifică Play Integrity și atestarea pe server și ia decizia acolo: un verdict valid nu este suficient singur, pentru că Hirudo redirecționează cererile prin propriul server. Verifică și revocarea certificatelor de atestare.
2. Leagă verificările de sesiune și de operațiunile protejate, nu doar de pornirea aplicației.
3. Folosește semnalele de Accesibilitate și de captură a ecranului ca indicii pentru scorul de risc, nu ca blocaje: o aplicație înlocuită le poate ascunde.
4. Păstrează analiza comportamentală (lipsa datelor comportamentale este ea însăși suspectă) și controalele de risc pe server la autentificare, recuperarea credențialelor, adăugarea beneficiarilor și aprobarea plăților.

Pentru responsabilii IT:

1. Ține la zi telefoanele companiei și blochează, din sistemul de gestionare a dispozitivelor, instalarea de APK-uri din surse necunoscute.
2. Fă în așa fel încât scanarea Play Protect să ruleze periodic.
3. Urmărește aceste semnale: servicii de Accesibilitate active pentru aplicații necunoscute, aplicații bancare reinstalate recent sau „actualizate” în afara Play Store, aplicații de cumpărături sau video instalate din linkuri de pe rețelele sociale.

Cum ajută ARXDOME

Pe telefoane nu se instalează un agent: vizibilitatea vine din rețea. ARX Watch te anunță când în rețeaua companiei apare un dispozitiv nou sau neautorizat, iar ARX Sentry aduce jurnalele firewall-urilor în paginile SOC, cu traficul de ieșire blocat și sursele aflate pe listele de amenințări. Cu ARX Horizon poți căuta din portal indicatorii de compromitere publicați.

Ultima actualizare: 15 octombrie 2026