ThreatFabric veröffentlichte am 14. Oktober 2026 eine Analyse zu Hirudo, einem Android-Banking-Trojaner, der laut dem Unternehmen bestimmte Banking-Apps durch manipulierte Kopien ersetzt. Diese sollen Sicherheitsprüfungen innerhalb der App beeinflussen können – ein anderer Ansatz als ein gefälschter Bildschirm über der echten App. ThreatFabric beschreibt die Angriffskette und ihre technischen Details.
Wie Hirudo eine Banking-App ersetzt
Hirudo ist ein Fernzugriffstrojaner, kurz RAT: Er soll Zugangsdaten stehlen und Angreifern die Fernsteuerung des Geräts ermöglichen. Die Angriffskette beginnt laut ThreatFabric mit einer separaten Köder-App, die etwa Inhalte eines Shops, eines Videokatalogs oder kurzer Dramaserien lädt. Ein vorgetäuschtes Update soll dann dazu bewegen, Hirudo als zusätzliche App zu installieren. Auch diese benötigt eigene Berechtigungen.
Erkennt die Schadsoftware eine angegriffene Banking-App, zeigt sie eine weitere gefälschte Update-Aufforderung. Während der Ersatz heruntergeladen wird, öffnet Hirudo den Android-Deinstallationsdialog für die echte App. Die manipulierte Version behält zwar Paketnamen und Versionsnummer bei, verwendet aber einen öffentlichen Android-Testschlüssel statt der Signatur der Bank. Deshalb kann Android sie nicht über die installierte Original-App installieren: Diese muss zuerst entfernt werden. Auch die Installation des Ersatzes muss autorisiert werden.
Was die manipulierte App an Sicherheitsprüfungen verändert
ThreatFabric zufolge lädt der Ersatz Schadcode direkt in den Prozess der Banking-App. Dieser soll Prüfungen auf manipulierte Software beeinflussen: Die App könne das echte Signaturzertifikat zurückmelden, aktivierte Bedienungshilfen-Dienste verbergen und die Bildschirmaufnahmesperre FLAG_SECURE entfernen.
Auch Anfragen an Google Play Integrity, einen Dienst zur Überprüfung der App-Integrität, würden laut ThreatFabric über unverschlüsseltes HTTP an einen von den Betreibern kontrollierten Server weitergeleitet. Die manipulierte App erhalte von dort ein Ergebnis zurück. Die mitgelieferte Schlüsselbox für die Schlüsselattestierung sei öffentlich geleakt; mindestens zwei ihrer Zertifikate stünden auf Googles Sperrliste für kompromittierte Zertifikate.
Damit kann ein positives lokales Prüfergebnis allein laut ThreatFabric nicht belegen, dass eine Banking-App unverändert ist. Das Unternehmen empfiehlt Banken, Play-Integrity-Prüfungen serverseitig vorzunehmen und sie an die jeweilige Sitzung und geschützte Aktion zu binden. Hinzukommen sollen Prüfungen gesperrter Attestierungszertifikate, Verhaltensanalysen und serverseitige Kontrollen des Transaktionsrisikos. Signale zu Bedienungshilfen und Bildschirmaufnahmen sollten dabei unterstützende Hinweise sein, keine alleinigen Gründe für eine Sperre.
Welche Ziele und Daten ThreatFabric beschreibt
ThreatFabric berichtet von speziell angepassten Ersatzversionen für acht indonesische Banking-Apps bei sieben Banken. Davon zu unterscheiden ist eine Liste von 42 Finanz-Apps, die in der untersuchten RAT-Konfiguration verzeichnet seien. Die Zahlen beschreiben unterschiedliche Dinge: acht gezielte App-Ersatzversionen und einen größeren Eintrag im App-Verzeichnis.
Die Zugangsdaten-Zielliste nennt Indonesien, China, Indien, Mexiko, Marokko und Thailand. Im gefälschten Bezahlvorgang erscheint außerdem das Branding malaysischer Banken und Wallets. Der Bericht beschreibt damit Ziel- und Markenbezüge, keine Länderbilanz von Opfern.
Der gefälschte Bezahlvorgang liegt laut ThreatFabric als transparentes WebView über der Bestellseite der Köder-App. Eingegebene Zahlungs-PINs würden unter dem Feldnamen appPayPwd übertragen; anschließend werde ein erfolgreicher Kauf vorgetäuscht. Hirudo soll außerdem Passwörter über gefälschte Bank-Anmeldemasken abgreifen, Geheimzahlen des Sperrbildschirms erfassen, den Bildschirm per WebRTC übertragen, Kamera-Sitzungen starten und SMS auslesen. Für den SMS-Zugriff nennt ThreatFabric einen anfänglichen Scan über 90 Tage sowie eine festgelegte Liste von Absendern aus dem Bank- und Wallet-Bereich.
Als Köder-Beispiele führt ThreatFabric Shopora (com.agbbh.kjdrttt), 1V1 X (com.onev.vip), KoiShort (com.koishort.app) und ZoyaTV (com.zoyatv.app) an. Die APKs seien über Amazon CloudFront ausgeliefert und Kampagnen mithilfe von OpenInstall-Zuordnungen und Meta-Pixel-IDs verknüpft worden. ThreatFabric beschreibt zudem ein ohne Anmeldung erreichbares Bedienfeld zum Verarbeiten von APKs sowie offengelegte Speicherbereiche und Zugangsdaten. Im August 2026 erfasste Backend-Datensätze hätten Tausende App-Zugangsdaten, Gerätedaten, den Verlauf von Sperrbildschirm-Eingaben und Finanzprofile mit Feldern zu Monatseinkommen und Risikowerten enthalten.
Was der Bericht zu Play Protect sagt
Ein absichtlich funktionsloses VPN könne während der Installation des Schadsoftware-Pakets die Internetverbindung unterbrechen und so cloudbasierte Prüfungen erschweren. ThreatFabric zufolge bleibt die Offline-Erkennung von Google Play Protect für bekannte potenziell schädliche Apps dennoch verfügbar. The Hacker News gibt diese Einordnung von ThreatFabric wieder.
