Wprowadzenie do problemu / definicja
Hirudo to nowy malware dla systemu Android, który łączy cechy trojana bankowego i zdalnego narzędzia dostępowego typu RAT. Jego wyjątkowość polega nie tylko na kradzieży danych uwierzytelniających, ale również na zdolności do usuwania legalnych aplikacji bankowych z urządzenia ofiary i zastępowania ich spreparowanymi kopiami.
Taki model działania oznacza jakościową zmianę w krajobrazie mobilnych zagrożeń. Zamiast ograniczać się do nakładek ekranowych czy prostego phishingu, atakujący ingerują bezpośrednio w aplikację, z której korzysta użytkownik, zwiększając szanse na skuteczne obejście lokalnych mechanizmów bezpieczeństwa.
W skrócie
- Hirudo trafia na urządzenia przez dropper ukryty w pozornie legalnych aplikacjach.
- Malware łączy funkcje trojana bankowego i pełnoprawnego RAT.
- Zagrożenie potrafi usuwać prawdziwe aplikacje bankowe i instalować ich trojanizowane wersje.
- Kampania była ukierunkowana na aplikacje bankowe w Indonezji, ale mechanizm może zostać zaadaptowany do innych rynków.
- Podmienione aplikacje mogą fałszować lokalne sygnały bezpieczeństwa, utrudniając wykrycie oszustwa.
Kontekst / historia
Mobilne ataki finansowe od lat ewoluują. Wcześniejsze kampanie na Androidzie często opierały się na overlayach, przechwytywaniu SMS-ów, nadużywaniu usług dostępności lub podszywaniu się pod ekrany logowania. Hirudo pokazuje jednak kolejny etap rozwoju tego typu operacji.
W tym przypadku punkt ciężkości przesuwa się z manipulacji na poziomie systemu urządzenia na manipulację wewnątrz samej aplikacji docelowej. To daje operatorom większą kontrolę nad przebiegiem sesji bankowej i może ograniczać skuteczność mechanizmów obronnych bazujących wyłącznie na telemetrii zbieranej lokalnie po stronie klienta.
Analiza techniczna
Według analizy Hirudo jest dostarczany za pośrednictwem droppera osadzonego w aplikacjach podszywających się pod legalne programy, takie jak aplikacje zakupowe, treści rozrywkowe czy krótkie seriale promowane w mediach społecznościowych. Po uruchomieniu dropper sprawdza obecność właściwego ładunku i w razie potrzeby instaluje go na urządzeniu.
Po aktywacji malware udostępnia operatorom szeroki zestaw funkcji, charakterystycznych zarówno dla trojanów bankowych, jak i narzędzi RAT. Obejmuje to lokalną kradzież poświadczeń, zdalną kontrolę nad urządzeniem, podgląd ekranu z użyciem WebRTC, dostęp do kamer, wykorzystanie Android Accessibility Services oraz zbieranie i filtrowanie wiadomości SMS związanych z bankowością i portfelami cyfrowymi.
Najbardziej niepokojącym elementem kampanii jest jednak mechanizm podmiany aplikacji bankowych. Hirudo identyfikuje wskazaną aplikację na urządzeniu, wyświetla fałszywy komunikat o aktualizacji, następnie usuwa legalną wersję i zastępuje ją zmodyfikowaną kopią przypisaną do konkretnego banku. Dla użytkownika może to wyglądać jak standardowa aktualizacja, choć w rzeczywistości dochodzi do instalacji złośliwego oprogramowania.
Zmodyfikowana aplikacja zawiera silnik hookujący, który ingeruje w mechanizmy bezpieczeństwa od środka. Może to obejmować kontrole podpisu aplikacji, wykrywanie usług dostępności, sygnały związane z przechwytywaniem ekranu oraz sprawdzenia Play Integrity. W praktyce oznacza to możliwość zwracania fałszywego obrazu stanu bezpieczeństwa aplikacji i urządzenia.
Z perspektywy obrony jest to szczególnie groźne, ponieważ aplikacja działająca w zaufanym kontekście procesu może przedstawiać sfałszowane wyniki kontroli lokalnych. To nie tylko utrudnia wykrycie infekcji, ale także zwiększa potencjał skalowania takiej techniki na kolejne instytucje i rynki.
Konsekwencje / ryzyko
Ryzyko dla użytkowników końcowych jest bardzo wysokie. Ofiara może utracić dane logowania, kody SMS, dostęp do sesji bankowej, a nawet kontrolę nad całym urządzeniem. Atakujący mogą obserwować ekran, wykonywać działania w aplikacjach i potencjalnie autoryzować operacje finansowe w czasie rzeczywistym.
Dla instytucji finansowych problem jest jeszcze szerszy. Jeżeli lokalne sygnały integralności pochodzą z podmienionej aplikacji, nie mogą być traktowane jako samodzielne źródło prawdy. To osłabia skuteczność mechanizmów antyfraudowych opartych wyłącznie na danych dostarczanych przez klienta.
Hirudo nie jest narzędziem do jednorazowej kradzieży poświadczeń. To platforma umożliwiająca długotrwałą kontrolę nad urządzeniem, elastyczne dostosowywanie działań do zachowania ofiary i rozwijanie kampanii na kolejne cele. Taka modularność zwiększa zarówno skuteczność oszustw, jak i trudność późniejszej analizy incydentu.
Rekomendacje
Instytucje finansowe powinny ograniczyć zaufanie do lokalnych wyników kontroli bezpieczeństwa i traktować je wyłącznie jako sygnały pomocnicze. Kluczowe mechanizmy integralności powinny być weryfikowane po stronie serwera, gdzie ryzyko manipulacji przez złośliwe oprogramowanie jest niższe.
Istotnym elementem ochrony powinna być również analiza behawioralna. Anomalie dotyczące logowania, dodawania odbiorców, odzyskiwania dostępu czy zatwierdzania transakcji powinny być oceniane w modelu ryzyka, a nie analizowane w oderwaniu od kontekstu. Brak spodziewanej telemetrii lub nietypowa sekwencja działań także mogą wskazywać na kompromitację urządzenia.
Po stronie użytkowników podstawą pozostaje higiena bezpieczeństwa mobilnego:
- instalowanie aplikacji wyłącznie z zaufanych źródeł,
- ignorowanie podejrzanych komunikatów o aktualizacjach poza oficjalnym sklepem,
- regularne sprawdzanie listy zainstalowanych aplikacji,
- ostrożne nadawanie uprawnień dostępności,
- korzystanie z rozwiązań ochrony mobilnej w środowiskach firmowych.
Podsumowanie
Hirudo pokazuje, że mobilny malware wchodzi w etap bardziej dojrzałych, ukierunkowanych i trudniejszych do wykrycia operacji. Najgroźniejszym elementem tej kampanii nie jest sama kradzież danych, lecz możliwość podmieniania legalnych aplikacji bankowych i fałszowania lokalnych mechanizmów kontroli od wewnątrz.
Dla sektora finansowego to wyraźny sygnał, że zaufanie musi być coraz silniej przenoszone na backend, a systemy antyfraudowe powinny opierać się na wielu warstwach analizy. Dla użytkowników to przypomnienie, że bezpieczeństwo mobilnej bankowości wymaga takiej samej ostrożności jak korzystanie z systemów desktopowych.
Źródła
- SecurityWeek — Novel Android RAT ‘Hirudo’ Replaces Banking Apps With Trojanized Copies — https://www.securityweek.com/novel-android-banking-rat-hirudo-replaces-banking-apps-with-trojanized-copies/
- ThreatFabric — Hirudo: The banker that replaces your app — https://www.threatfabric.com/blogs/hirudo-the-banker-that-replaces-your-app
- Android Developers — Play Integrity API — https://developer.android.com/google/play/integrity