El malware Hirudo sustituye apps bancarias reales de Android por clones espía

La firma de seguridad móvil ThreatFabric reveló el 14 de octubre una nueva familia de malware para Android llamada Hirudo, que roba credenciales bancarias desinstalando en secreto la app bancaria real de la víctima y sustituyéndola por una copia manipulada con sus comprobaciones de seguridad desactivadas. La empresa halló clones maliciosos de al menos siete apps bancarias de Indonesia, además de apps modificadas vinculadas a instituciones financieras de China, India, México, Marruecos y Tailandia.

Los troyanos bancarios que superponen una pantalla de login falsa sobre la app real son habituales. Hirudo es más agresivo: en lugar de engañar a la víctima para que escriba sus credenciales en una pantalla imitada, elimina por completo la app original del teléfono e instala su propia versión parcheada en su lugar, de modo que la víctima interactúa con software controlado por el malware desde el primer toque.

Hirudo se distribuye a través de apps sin relación aparente, fuera de Google Play, entre ellas una app de compras llamada Shopora, una app de contenido para adultos llamada 1V1 X y las apps de drama corto ZoyaTV y KoiShort. Estas apps funcionan como se anuncian y luego muestran un falso aviso de “actualización” que lleva a la víctima a conceder permisos de Accessibility. Con ese acceso, Hirudo activa en silencio el proceso de desinstalación de la app real del banco objetivo, descarga una versión parcheada desde la infraestructura del atacante y usa sus propios privilegios de Accessibility para completar la instalación sin más avisos.

Las apps bancarias parcheadas usan un motor de hooking construido sobre los frameworks de código abierto YAHFA y Dobby para falsificar el certificado de firma original cuando el sistema operativo lo comprueba, ocultar que los servicios de Accessibility están activados, eliminar la protección contra capturas de pantalla y alterar los datos de key-attestation para que las solicitudes a la API Play Integrity de Google se redirijan en silencio a través de un servidor controlado por el operador en lugar de responderse honestamente. ThreatFabric afirma que los operadores pueden recolectar contraseñas bancarias, PIN de pago, códigos de desbloqueo del dispositivo y mensajes SMS, además de transmitir la pantalla del teléfono, acceder a ambas cámaras y extraer capturas de pantalla y audio. Páginas de pago falsas dentro de la app capturan el PIN de pago antes de mostrar un mensaje falso de “pago realizado” para no levantar sospechas.

ThreatFabric también encontró un panel backend sin proteger usado por los operadores de Hirudo que contenía miles de registros de credenciales robadas junto con datos de dispositivo, pantalla de bloqueo y perfil financiero, aunque la empresa afirma que el número total de víctimas sigue siendo desconocido. La campaña tiene una debilidad incorporada: el keybox de attestation incluido en el malware se filtró públicamente, y Google ya ha marcado dos de los certificados que usa como comprometidos, lo que permite que comprobaciones de integridad del lado del servidor correctamente configuradas detecten las attestations falsificadas.

ThreatFabric recomienda a los bancos trasladar la validación de firma e integridad al lado del servidor y vincularla a sesiones individuales en lugar de confiar únicamente en comprobaciones en el dispositivo, y recomienda a los usuarios de Android evitar instalar APK fuera de las tiendas oficiales y mantener activo el escaneo de Play Protect. La investigación fue publicada por ThreatFabric y reportada por Bill Toulas para BleepingComputer.