ThreatFabric ha identificato Hirudo, un trojan Android che sostituisce otto app bancarie indonesiane legittime con copie modificate per rubare credenziali e prendere il controllo del dispositivo. La storia non è solo il furto di password: il malware si infila dentro l’app bancaria stessa e ne usa il processo per far passare come legittime operazioni che altrimenti verrebbero bloccate.
La copia patchata mantiene quasi tutto il codice originale, ma altera le risposte ai controlli interni: firma, Accessibility e Play Integrity. In questo modo l’app arriva a mentire su di sé, nasconde i servizi di Accessibility attivi e può abilitare il remote control, la cattura di schermate e audio e la sottrazione di PIN e segreti di sblocco, senza dipendere da un overlay esterno.
Il targeting osservato non si ferma all’Indonesia e tocca anche banche in Cina, India, Messico, Marocco e Thailandia. Per chi difende app mobili bancarie, il punto è che la fiducia non cade più solo sul sistema operativo: se la logica di controllo vive dentro l’app, una sua copia modificata può ereditarne anche la credibilità apparente.
Hirudo Android malware replaces banking apps to evade security checks
A new Android malware called Hirudo steals bank account credentials by replacing legitimate banking apps with modified versions that disable security checks.