Hirudo colpisce Android: il trojan che sostituisce la tua app bancaria con un clone perfetto

Il trojan bancario Android Hirudo rappresenta una nuova evoluzione delle minacce mobile perché non si limita a rubare credenziali con overlay e tecniche di social engineering, ma prova a sostituire le app bancarie legittime con versioni modificate e apparentemente identiche. Questa strategia punta a superare i controlli di sicurezza integrati nelle app, spostando il confronto direttamente dentro il perimetro dell’app bancaria.

Distribuzione tramite dropper e finte app “legittime”

Hirudo viene distribuito tramite app dropper che simulano servizi reali come shopping, contenuti per adulti e intrattenimento. Queste app caricano contenuti autentici in WebView per sembrare credibili (ad esempio cataloghi video o vetrine di prodotti) ma, in background, eseguono una routine di avvio che:

• Raccoglie dati di tracciamento della campagna
• Scarica la configurazione
• Verifica la presenza del payload e controlla se sono attivi permessi critici (accessibilità e accesso alle notifiche)

Se il malware non è installato, compare un falso prompt di aggiornamento in-app che avvia l’installazione di un secondo pacchetto separato, il quale richiede autorizzazioni proprie.

Tecniche di anti-rilevamento

Tra le tecniche di anti rilevamento spicca l’uso di una VPN intenzionalmente non funzionante per limitare l’accesso a Internet prima dell’installazione del payload, con l’obiettivo di ridurre controlli cloud e reputazionali. Anche se non annulla del tutto le protezioni locali, può ostacolare analisi online e verifiche automatiche.

Capacità operative del malware

Una volta attivo, Hirudo abilita furto credenziali, controllo remoto, acquisizione di schermo e camera e intercettazione SMS.

Sostituzione dell’app bancaria con versioni patchate

La parte più critica è la sostituzione della app bancaria: il RAT identifica la banca tramite accessibilità, verifica il certificato di firma e mostra un falso aggiornamento; quindi apre la disinstallazione della app originale e scarica in parallelo la sostituzione malevola.

Le versioni patchate includono un motore di hooking che altera le risposte ai controlli interni (firma, accessibilità, screen capture e Play Integrity) restituendo valori preparati dall’attaccante. Tra gli esempi:

• Ritorno del certificato autentico per superare verifiche di integrità basate sulla firma
• Lista vuota dei servizi di accessibilità attivi per mascherare l’abuso di Accessibility
• Rimozione del flag secure per permettere la visione e registrazione remota delle schermate

Canali di diffusione e infrastruttura

La distribuzione include anche pagine web false che imitano schede del Play Store e campagne pubblicitarie che reindirizzano gli utenti. Il backend gestisce campagne, dati rubati, profili finanziari e informazioni sul dispositivo, rendendo la frode più scalabile.