Hirudo-Malware ersetzt echte Banking-Apps auf Android durch Spionage-Klone

Das Mobile-Security-Unternehmen ThreatFabric hat am 14. Oktober eine neue Android-Malware-Familie namens Hirudo offengelegt, die Bankdaten stiehlt, indem sie die echte Banking-App des Opfers heimlich deinstalliert und durch eine manipulierte Kopie mit abgeschalteten Sicherheitsprüfungen ersetzt. Das Unternehmen fand bösartige Klone von mindestens sieben indonesischen Banking-Apps sowie modifizierte Apps, die mit Finanzinstituten in China, Indien, Mexiko, Marokko und Thailand verbunden sind.

Banking-Trojaner, die einen gefälschten Login-Bildschirm über die echte App legen, sind weit verbreitet. Hirudo geht aggressiver vor: Statt das Opfer dazu zu bringen, Zugangsdaten in einen nachgebildeten Bildschirm einzugeben, entfernt die Malware die Original-App vollständig vom Telefon und installiert stattdessen ihre eigene gepatchte Version, sodass das Opfer von Anfang an mit einer von der Malware kontrollierten Software interagiert.

Hirudo verbreitet sich über scheinbar unabhängige Apps, die außerhalb von Google Play vertrieben werden, darunter eine Shopping-App namens Shopora, eine Erwachseneninhalte-App namens 1V1 X sowie die Kurzdrama-Apps ZoyaTV und KoiShort. Diese Apps funktionieren wie beworben und zeigen anschließend eine gefälschte „Update“-Aufforderung an, die das Opfer dazu bringt, Accessibility-Berechtigungen zu erteilen. Mit diesem Zugriff löst Hirudo im Hintergrund den Deinstallationsprozess der echten Banking-App des Zielinstituts aus, lädt eine gepatchte Version von der Infrastruktur der Angreifer herunter und nutzt seine eigenen Accessibility-Rechte, um die Installation ohne weitere Abfragen abzuschließen.

Die gepatchten Banking-Apps verwenden eine Hooking-Engine auf Basis der Open-Source-Frameworks YAHFA und Dobby, um das ursprüngliche Signaturzertifikat bei der Prüfung durch das Betriebssystem zu fälschen, die Aktivierung von Accessibility-Diensten zu verbergen, den Screenshot-Schutz zu entfernen und Key-Attestation-Daten so zu verändern, dass Anfragen an Googles Play-Integrity-API heimlich über einen vom Angreifer kontrollierten Server umgeleitet statt ehrlich beantwortet werden. Laut ThreatFabric können die Betreiber Bank-Passwörter, Zahlungs-PINs, Gerätesperrcodes und SMS-Nachrichten abgreifen sowie den Bildschirm des Telefons streamen, auf beide Kameras zugreifen und Screenshots sowie Audio abgreifen. Gefälschte In-App-Checkout-Seiten erfassen Zahlungs-PINs, bevor eine gefälschte „Zahlung erfolgreich“-Meldung angezeigt wird, um keinen Verdacht zu erregen.

ThreatFabric fand zudem ein ungesichertes Backend-Panel der Hirudo-Betreiber mit Tausenden gestohlenen Zugangsdaten sowie Geräte-, Sperrbildschirm- und Finanzprofildaten – die Gesamtzahl der Opfer sei laut Unternehmen aber weiterhin unbekannt. Die Kampagne hat eine eingebaute Schwachstelle: Die der Malware beigefügte Attestation-Keybox ist öffentlich geleakt, und Google hat bereits zwei der verwendeten Zertifikate als kompromittiert eingestuft, wodurch korrekt konfigurierte serverseitige Integritätsprüfungen die gefälschten Attestationen erkennen können.

ThreatFabric empfiehlt Banken, die Signatur- und Integritätsvalidierung serverseitig durchzuführen und an einzelne Sitzungen zu binden, statt sich allein auf geräteseitige Prüfungen zu verlassen, sowie Android-Nutzern, keine APKs außerhalb offizieller Stores zu installieren und den Play-Protect-Scan aktiviert zu lassen. Die Recherche wurde von ThreatFabric veröffentlicht und von Bill Toulas für BleepingComputer berichtet.