Троян Hirudo подменяет банковские приложения их же взломанными копиями

Нидерландская компания ThreatFabric, специализирующаяся на мобильной безопасности, рассказала о новом банковском трояне для Android под названием Hirudo. Его отличительная черта — подмена легитимных банковских приложений специально подготовленными взломанными версиями, которые обходят защитные проверки изнутри самого приложения. Исследователи называют это новым витком в эволюции финансового мошенничества.

Специалисты обнаружили подмены для восьми индонезийских банковских приложений, тогда как кража учётных данных нацелена на пользователей из Индонезии, Китая, Индии, Мексики, Марокко и Таиланда. По словам вице-президента ThreatFabric Эварда Дрихёйса, операция объединяет кражу учётных данных, захват устройства, запись экрана и камеры, перехват SMS и опирается на достаточно зрелую серверную инфраструктуру.

Как происходит заражение

Hirudo доставляется через дропперы — приложения для шопинга, просмотра видео и развлечений, например Shopora, 1V1 X, KoiShort и ZoyaTV. Приманка работоспособна: внутри WebView загружается настоящий контент — витрина магазина, каталог видео или короткие сериалы, поэтому приложение выглядит убедительно. Параллельно дроппер проверяет, установлен ли сам троян, и, если нет, показывает поддельное окно обновления, предлагая его установить. Важно, что Hirudo ставится как отдельное приложение и сам запрашивает нужные разрешения.

Чтобы помешать облачным проверкам, в том числе Google Play Protect, зловред перед установкой полезной нагрузки блокирует интернет через заведомо нерабочее VPN-соединение. ThreatFabric отмечает, что это скорее снижает эффективность онлайн-анализа репутации, чем полностью отключает защиту.

Подмена банковского приложения

Самое примечательное — именно замена банковского приложения подделкой. Троян через службу специальных возможностей распознаёт установленный банк, сверяет его сертификат подписи, показывает фальшивое окно обновления, открывает системный деинсталлятор для настоящего приложения, не дожидаясь нажатия пользователя, и параллельно скачивает поддельную копию.

Встроенный в копию перехватчик ослепляет внутренние проверки: возвращает подлинный сертификат подписи, отдаёт пустой список включённых служб специальных возможностей и снимает флаг FLAG_SECURE, позволяя удалённо наблюдать за экранами. Запросы Play Integrity перенаправляются по открытому HTTP на сервер злоумышленников, который и выдаёт нужный вердикт. При этом ThreatFabric подчёркивает: используемый keybox для аттестации не принадлежит операторам — это публично утёкший ключ, а сам факт корректного ответа Integrity больше не доказывает подлинность приложения.

Распространяется зловред через фальшивые страницы, имитирующие Google Play, на которые пользователей заманивают реклама в соцсетях Meta. Вывод исследователей прост: если приложение можно подменить, его локальные сигналы — подпись, список служб, вердикт Integrity — следует считать находящимися под влиянием атакующего и проверять на стороне сервера.

Источник: The Hacker News