Hirudo Android Trojan Uses Patched Banking Apps to Bypass Their Built-In Security Checks
The Hacker News · 14 oct, 13:08
Se ha descubierto Hirudo, un troyano bancario para Android que reemplaza aplicaciones de banca legítima con versiones modificadas para eludir sus propias comprobaciones de seguridad desde dentro de la aplicación. El malware afecta a ocho aplicaciones bancarias indonesias y roba credenciales en Indonesia, China, India, México, Marruecos y Tailandia, distribuyéndose a través de aplicaciones falsas de compras, vídeo para adultos y entretenimiento que actúan como dropper.
Hirudo se entrega mediante aplicaciones dropper funcionales (Shopora, 1V1 X, KoiShort, ZoyaTV) que cargan contenido legítimo en WebView mientras preparan la instalación del malware como actualización en segundo plano. El malware requiere permisos de accesibilidad y notificaciones para operar. Implementa técnicas anti-detección, como bloquear Internet mediante una conexión VPN no funcional antes de instalar el payload, para evitar que Google Play Protect y otros servicios analicen el código en la nube.
Lo distintivo de Hirudo es su capacidad de reemplazar la aplicación bancaria con una copia modificada que incluye un motor de hooking para eludir comprobaciones de firma, accesibilidad, captura de pantalla e integridad de Play desde dentro de la app. El malware detecta la aplicación bancaria instalada, inicia automáticamente el desinstalador de la genuina y descarga la versión modificada en paralelo. La copia maliciosa devuelve certificados de firma genuinos, oculta servicios de accesibilidad habilitados, elimina el flag FLAG_SECURE para permitir grabación remota, resirma certificados de atestación con un keybox filtrante público, y retransmite solicitudes de Play Integrity a servidores controlados por operadores. La distribución ocurre mediante páginas falsas de Google Play Store en anuncios de Meta, con un backend sofisticado que gestiona campañas y datos robados incluyendo historiales de bloqueo de pantalla y perfiles financieros.
Puntos clave
- Afecta a ocho aplicaciones bancarias indonesias, con suplantación de credenciales en seis países más
- Distribuido como actualización en segundo plano por aplicaciones dropper funcionales de compras, entretenimiento y vídeo
- Reemplaza apps legítimas con versiones modificadas que eludan comprobaciones de integridad desde dentro de la aplicación
- Implementa anti-detección con VPN no funcional y retransmisión de certificados de integridad a servidores atacantes
- Requiere permisos de accesibilidad y notificaciones; distribución mediante anuncios falsos de Google Play en Meta
Figuras de la fuente
