De Hirudo Android-trojan vervangt legitieme bankapps door aangepaste versies om ingebouwde beveiligingscontroles te omzeilen en steelt zo bankgegevens wereldwijd.
Cybersecurityonderzoekers hebben details bekendgemaakt over een nieuwe Android banking trojan genaamd Hirudo. Deze malware werkt door legitieme bankapps te vervangen door speciaal aangepaste versies die ontworpen zijn om de ingebouwde beveiligingscontroles binnen de app te omzeilen. Dit vormt een nieuwe escalatie in financiële fraude.
Het Nederlandse mobiele beveiligingsbedrijf ThreatFabric ontdekte vervangingen voor acht Indonesische bankapps, terwijl de malware gericht is op het stelen van inloggegevens in landen als Indonesië, China, India, Mexico, Marokko en Thailand. Volgens Eward Driehuis, vice-president fraud engineering bij ThreatFabric, combineert de operatie het stelen van inloggegevens, het overnemen van apparaten, het vastleggen van scherm en camera, en het onderscheppen van sms-berichten, ondersteund door een geavanceerde backend.
Hirudo faciliteert het stelen van inloggegevens op het apparaat zelf en stelt aanvallers in staat om het apparaat op afstand live te besturen. De malware wordt verspreid via zogenoemde dropper-apps in categorieën zoals winkelen, volwassen video’s en entertainment. Deze dropper-apps bevatten de trojan als een apart installatiepakket dat via een nep in-app update wordt geïnstalleerd. Voorbeelden van deze dropper-apps zijn Shopora, 1V1 X, KoiShort en ZoyaTV.
De dropper-apps tonen functionele content zoals een webshop, videobibliotheek of korte dramaseries, waardoor ze legitiem lijken. Tegelijkertijd voert de dropper een vaste routine uit: het verzamelt promotiegegevens, haalt de campagneconfiguratie op en controleert of de Hirudo RAT al geïnstalleerd is met de benodigde toegankelijkheids- en notificatierechten. Is dat niet het geval, dan verschijnt een nep update-prompt om de malware te installeren.
Hirudo wordt als een tweede app geïnstalleerd en moet daarvoor zelf de benodigde permissies krijgen. Om detectie te voorkomen, gebruikt de malware een techniek waarbij internettoegang wordt geblokkeerd door een niet-functionele VPN-verbinding te configureren voordat de payload wordt geïnstalleerd. Dit moet voorkomen dat beveiligingsdiensten zoals Google Play Protect cloudgebaseerde controles uitvoeren. Hoewel Play Protect ook offline detectie biedt, vermindert deze techniek vooral de effectiviteit van online reputatie- en code-analysemechanismen.
Afhankelijk van de dropper-app toont de malware valse schermen om betaal-PIN’s te onderscheppen, inloggegevens voor bank- en wallet-apps te verzamelen, nep vergrendelingsschermen te tonen en volledige externe controle over het apparaat mogelijk te maken. Wat Hirudo onderscheidt van andere Android banking trojans is het vervangen van de doelbankapp door een aangepaste kopie. Deze vervangingen bevatten een hooking-engine die onder andere handtekening-, toegankelijkheids-, schermopname- en Play Integrity-controles binnen de app zelf omzeilt.
De vervangingen richten zich op acht Indonesische bankapps. De malware detecteert via toegankelijkheidsfuncties of de bankapp geïnstalleerd is, controleert het certificaat en toont vervolgens een nep update-prompt. Zonder te wachten op gebruikersinteractie opent het de Android-verwijderaar voor de echte app en downloadt tegelijkertijd de kwaadaardige vervanging. Hoewel het verwijderen van de originele app een beperking is, stelt deze methode de trojan in staat om de beveiligingscontroles van de bankapp te omzeilen, aldus ThreatFabric.
