Банковский троян Hirudo удаляет оригинал приложения и ставит точную копию, крадя данные пользователей

ThreatFabric раскрыла банковский троян Hirudo, который меняет привычную механику мобильного фишинга. Вместо того чтобы рисовать фальшивое окно поверх настоящего клиента, вредонос пытается полностью удалить легитимное приложение и поставить на его место модифицированную копию. Для восьми приложений семи банков уже подготовлены отдельные подмены, способные отключить защитные проверки изнутри.

Атака начинается с работающей приманки. Пользователь скачивает приложение, замаскированное под магазин, сервис коротких видео или контент для взрослых. Оно действительно показывает заявленный контент, но затем предлагает фальшивое обновление и устанавливает второй APK с Hirudo.

Для дальнейшей работы трояну нужны выданные пользователем разрешения, включая спецвозможности Android и доступ к уведомлениям. Получив контроль, Hirudo находит установленный банковский клиент, сверяет подпись с сохранённым образцом и запускает штатное окно удаления. Параллельно вредонос скачивает подготовленную копию.

Android не позволяет поставить её поверх оригинала из-за другой цифровой подписи, поэтому настоящий клиент приходится удалить, а установку замены должен разрешить пользователь. Цепочку можно прервать на этом шаге. Подменённое приложение сохраняет исходное имя пакета и номер версии, но внутри появляется механизм перехвата функций на базе YAHFA и Dobby.

Он подсовывает банковскому клиенту правильную подпись, скрывает активную службу Accessibility, снимает запрет на захват экрана и вмешивается в проверки Play Integrity. В четырёх изученных копиях запросы Play Integrity уходили на сервер операторов Hirudo. Функции RAT не ограничиваются подменой банка.

Hirudo показывает фальшивые формы входа и оплаты, крадёт пароли и PIN-коды, читает экран, перехватывает секрет блокировки устройства, получает SMS и поддерживает удалённый контроль через WebRTC. Первое сканирование сообщений охватывает до 90 дней, а операторы могут включать переднюю и заднюю камеры смартфона. В конфигурации Hirudo перечислены 42 финансовых приложения, однако готовые подмены ThreatFabric нашла только для восьми банковских клиентов в Индонезии.

В коде присутствуют цели из Китая, Индии, Мексики, Марокко и Таиланда, а фальшивая страница оплаты использует брендинг банков и кошельков Малайзии. Подобные атаки, как и недавние взломы роутеров Хакеры взламывают D-Link и Ubiquiti, чтобы перепродавать украденный интернет-трафик, демонстрируют, что злоумышленники ищут способы подмены доверенных компонентов. Часть каналов загрузки вредоносных APK оставалась доступной в октябре 2026 года.

Полученные ThreatFabric данные серверной части за август содержали тысячи записей с учётными данными приложений, сведениями об устройствах, историей кодов блокировки и финансовыми профилями. Такой массив информации позволяет атакующим не только опустошать счета, но и выстраивать детальные профили жертв. Для банков компания рекомендует проверять Play Integrity на сервере, учитывать отзыв сертификатов аттестации и не считать локальные сигналы о подписи, Accessibility или запрете скриншотов достаточной защитой.

На стороне пользователя критически важно не соглашаться на удаление банковского приложения и не разрешать установку из неизвестных источников без полного понимания происходящего.