Malware · 5 ore fa
ThreatFabric ha identificato Hirudo, un trojan Android che sostituisce otto app bancarie indonesiane legittime con copie modificate per rubare credenziali e prendere il controllo del dispositivo. La storia non è solo il furto di password: il malware si infila dentro l’app bancaria stessa e ne usa il processo per far passare come legittime operazioni che altrimenti verrebbero bloccate.
La copia patchata mantiene quasi tutto il codice originale, ma altera le risposte ai controlli interni: firma, Accessibility e Play Integrity. In questo modo l’app arriva a mentire su di sé, nasconde i servizi di Accessibility attivi e può abilitare il remote control, la cattura di schermate e audio e la sottrazione di PIN e segreti di sblocco, senza dipendere da un overlay esterno.
Il targeting osservato non si ferma all’Indonesia e tocca anche banche in Cina, India, Messico, Marocco e Thailandia. Per chi difende app mobili bancarie, il punto è che la fiducia non cade più solo sul sistema operativo: se la logica di controllo vive dentro l’app, una sua copia modificata può ereditarne anche la credibilità apparente.
2 fonti che coprono questa storia
Hirudo Android malware replaces banking apps to evade security checks
A new Android malware called Hirudo steals bank account credentials by replacing legitimate banking apps with modified versions that disable security checks.
Hirudo Android Trojan Uses Patched Banking Apps to Bypass Their Built-In Security Checks
Hirudo targets eight Indonesian banking apps with patched replacements that can bypass signature, accessibility, and integrity checks.
Part of the PlainSec briefing for 2026-10-14