Malware Hirudo substitui apps bancários reais do Android por clones espiões

A empresa de segurança móvel ThreatFabric revelou em 14 de outubro uma nova família de malware Android chamada Hirudo, que rouba credenciais bancárias desinstalando secretamente o app bancário real da vítima e substituindo-o por uma cópia adulterada com as verificações de segurança desativadas. A empresa encontrou clones maliciosos de pelo menos sete apps bancários indonésios, além de apps modificados ligados a instituições financeiras na China, Índia, México, Marrocos e Tailândia.

Trojans bancários que sobrepõem uma tela de login falsa ao app real são comuns. O Hirudo é mais agressivo: em vez de enganar a vítima para digitar credenciais em uma tela imitada, ele remove totalmente o app original do telefone e instala sua própria versão modificada no lugar, de forma que a vítima interage com software controlado pelo malware desde o primeiro toque.

O Hirudo se espalha por meio de apps aparentemente não relacionados, distribuídos fora da Google Play, incluindo um app de compras chamado Shopora, um app de conteúdo adulto chamado 1V1 X, e os apps de drama curto ZoyaTV e KoiShort. Esses apps funcionam como anunciado e depois exibem um aviso falso de “atualização” que leva a vítima a conceder permissões de Accessibility. Com esse acesso, o Hirudo aciona silenciosamente o processo de desinstalação do app real do banco-alvo, baixa uma versão adulterada da infraestrutura do atacante e usa seus próprios privilégios de Accessibility para concluir a instalação sem mais avisos.

Os apps bancários adulterados usam um motor de hooking construído sobre os frameworks de código aberto YAHFA e Dobby para falsificar o certificado de assinatura original quando o sistema operacional o verifica, ocultar que os serviços de Accessibility estão ativados, remover a proteção contra capturas de tela e alterar dados de key-attestation para que as solicitações à API Play Integrity do Google sejam silenciosamente roteadas por um servidor controlado pelo operador em vez de respondidas honestamente. Segundo a ThreatFabric, os operadores podem coletar senhas bancárias, PINs de pagamento, códigos de desbloqueio do dispositivo e mensagens SMS, além de transmitir a tela do telefone, acessar as duas câmeras e extrair capturas de tela e áudio. Páginas de pagamento falsas dentro do app capturam o PIN de pagamento antes de exibir uma mensagem falsa de “pagamento aprovado” para não levantar suspeitas.

A ThreatFabric também encontrou um painel de backend desprotegido usado pelos operadores do Hirudo, contendo milhares de registros de credenciais roubadas, além de dados de dispositivo, tela de bloqueio e perfil financeiro — embora a empresa diga que o número total de vítimas ainda é desconhecido. A campanha tem uma fragilidade embutida: o keybox de attestation incluído no malware vazou publicamente, e o Google já marcou dois dos certificados usados como comprometidos, o que permite que verificações de integridade do lado do servidor, quando configuradas corretamente, detectem as attestations falsificadas.

A ThreatFabric recomenda que os bancos movam a validação de assinatura e integridade para o lado do servidor e a vinculem a sessões individuais, em vez de confiar apenas em verificações no dispositivo, além de recomendar que usuários Android evitem instalar APKs fora das lojas oficiais e mantenham o escaneamento do Play Protect ativado. A pesquisa foi publicada pela ThreatFabric e reportada por Bill Toulas para o BleepingComputer.