De Android-malware Hirudo steelt bankgegevens door legitieme bankapps te vervangen met aangepaste versies die beveiligingscontroles uitschakelen.
Een nieuwe Android-malware genaamd Hirudo steelt bankaccountgegevens door legitieme bankapplicaties te vervangen door aangepaste versies die beveiligingscontroles uitschakelen. Onderzoekers ontdekten kwaadaardige kopieën van acht bankapps die een hooking-engine gebruiken om controles op app-handtekeningen, toegankelijkheidsdiensten en Play Integrity te omzeilen door certificaatinformatie te vervangen of lege lijsten terug te geven.
De dreigingsactoren kunnen Hirudo inzetten om inloggegevens te stelen, geïnfecteerde telefoons op afstand in real-time te bedienen, berichten te verzamelen, screenshots te maken en audio op te nemen. Volgens een rapport van het mobiele beveiligingsbedrijf ThreatFabric is Hirudo waargenomen bij het imiteren van ten minste zeven Indonesische banken, maar richt de malware zich ook op financiële instellingen in China, India, Mexico, Marokko en Thailand. De malware wordt doorgaans verspreid via ogenschijnlijk legitieme apps voor winkelen (Shopora), adult content (1V1 X) of korte drama’s (ZoyaTV, KoiShort) die de beloofde functionaliteit bieden.
Deze apps fungeren als malware-loaders voor Hirudo en tonen een neppe update-melding die leidt tot toestemmingsverzoeken, waaronder voor toegankelijkheidsdiensten. Eenmaal geïnstalleerd start Hirudo de echte bankapplicatie om te verwijderen, downloadt een aangepaste kopie en gebruikt de Accessibility-permissie om deze te installeren. Dit proces is risicovol omdat het slachtoffer het kan onderbreken op twee momenten.
De kwaadaardige kopie van de bankapp behoudt vrijwel alle originele code, maar laadt een hooking-engine gebaseerd op open-source frameworks YAHFA en Dobby. Bij het opstarten voert de aangepaste app verschillende omzeilingsacties uit: het vervangt het echte ondertekeningscertificaat bij controle, verbergt ingeschakelde toegankelijkheidsdiensten, verwijdert screenshotbescherming zodat schermopnames en -weergave op afstand mogelijk zijn, en wijzigt sleutelattestatiecertificaten terwijl Play Integrity-verzoeken via een server van de aanvaller lopen. Volgens de onderzoekers worden zo de beveiligingsmechanismen van de app tegen zichzelf gebruikt.
Er zijn echter beperkingen aan deze omzeilingsmethoden. De gebruikte attestation keybox is publiek gelekt en Google heeft twee van de certificaten als gecompromitteerd gemarkeerd, waardoor server-side intrekkingscontroles vervalsingen kunnen detecteren. Zodra Hirudo actief is op het apparaat, kan het bankwachtwoorden, betaal-pins, ontgrendelcodes en sms-berichten stelen, het scherm streamen naar de aanvallers en toegang bieden tot beide camera’s. De malware toont valse betaalpagina’s om pincodegegevens te verzamelen en toont daarna een gefingeerd succesbericht om slachtoffers te misleiden terwijl data wordt gestolen.
ThreatFabric vond duizenden inloggegevens in een onbeveiligd backendpaneel, naast apparaat-, vergrendelingsscherm- en financiële profielgegevens, hoewel het aantal slachtoffers onbekend blijft. Volgens de onderzoekers markeert Hirudo een bewuste escalatie in de aanpak van Android-bankingmalware, waarbij de focus verschuift van apparaatniveau-integriteitscontroles naar beveiligingsmechanismen binnen de bankapps zelf. Zij adviseren banken om integriteits- en attestatiecontroles server-side te valideren, deze te koppelen aan sessies en beschermde acties, en gedrags- en transactie-risicocontroles te behouden.
Android-gebruikers wordt sterk aangeraden hun apparaten up-to-date te houden, geen APK-bestanden van onofficiële winkels te installeren en regelmatig Play Protect-scans uit te voeren. Meer details over de malware en de aanvalsketen zijn te vinden in het onderzoek van ThreatFabric.
