El 14 de octubre de 2026, ThreatFabric publicó un análisis que describe cómo Hirudo, un troyano bancario para Android, sustituye ciertas aplicaciones bancarias por copias modificadas que manipulan comprobaciones de seguridad. La empresa informa de ocho aplicaciones con reemplazos específicos en siete bancos de Indonesia y de un registro más amplio con 42 aplicaciones financieras. ThreatFabric detalla el funcionamiento y el alcance que atribuye a Hirudo.

Cómo Hirudo intenta sustituir una aplicación bancaria

El ataque empieza con una aplicación señuelo que puede ofrecer contenido funcional, como una tienda o un catálogo de vídeos. Después, muestra una falsa actualización dentro de la propia aplicación. El payload —el componente malicioso— se instala como una segunda app y necesita sus propios permisos para acceder a sus funciones.

Cuando detecta una aplicación bancaria a la que apunta, Hirudo muestra el aviso falso, inicia la retirada de la app legítima y descarga una copia preparada para ese banco. La copia conserva el nombre del paquete y la versión originales, pero está firmada con una clave pública de prueba de Android. Por eso, el sistema no permite instalarla como actualización sobre la aplicación auténtica, firmada por el banco: primero hay que desinstalar la original y autorizar la instalación de la nueva.

ThreatFabric señala que esa secuencia puede interrumpirse durante la retirada de la aplicación legítima o al autorizar la instalación. La empresa cita como ejemplos de señuelos Shopora (com.agbbh.kjdrttt), 1V1 X (com.onev.vip), KoiShort (com.koishort.app) y ZoyaTV (com.zoyatv.app).

Qué comprobaciones manipula la copia

Según ThreatFabric, el código añadido a la aplicación bancaria carga un motor de hooking: una técnica que intercepta funciones para alterar sus respuestas. El motor se basa en YAHFA y Dobby y puede intervenir en varias comprobaciones locales. Entre otras cosas, la copia puede devolver el certificado de firma legítimo, ocultar los servicios de accesibilidad activados y eliminar FLAG_SECURE, una protección que restringe la captura de pantalla.

El análisis también describe solicitudes de Google Play Integrity retransmitidas por HTTP sin cifrar a un servidor controlado por los operadores, que devuelve una respuesta para la aplicación modificada. ThreatFabric afirma que el keybox —el conjunto de claves y certificados usado en la atestación— está filtrado públicamente y que al menos dos certificados aparecen como comprometidos en la lista de revocación de Google. Una respuesta válida de Play Integrity, por sí sola, no basta para demostrar que la aplicación no ha sido manipulada.

Qué alcance tienen los objetivos y los datos descritos

Las ocho aplicaciones con reemplazos específicos corresponden a siete bancos indonesios. Por separado, el registro financiero analizado por ThreatFabric contiene 42 aplicaciones. Los datos de objetivos para el robo de credenciales nombran Indonesia, China, India, México, Marruecos y Tailandia. El proceso de pago falso incluido en el malware lleva marcas de bancos y monederos de Malasia.

El pago falso se superpone a la página de pedido de la aplicación señuelo y puede recoger el PIN introducido por el usuario, según ThreatFabric. La empresa también atribuye a Hirudo la captura de contraseñas bancarias y secretos de la pantalla de bloqueo, la visualización remota de la pantalla mediante WebRTC, sesiones con las cámaras delantera y trasera y la recopilación de SMS. Esta última función incluye un análisis inicial de mensajes de los 90 días anteriores y una lista configurada de remitentes de bancos y monederos.

ThreatFabric describe además APK señuelo distribuidos mediante Amazon CloudFront, enlaces de campaña asociados a OpenInstall y Meta Pixel, y un panel para procesar APK que, según la empresa, era accesible sin iniciar sesión. El panel podía generar aplicaciones señuelo y reemplazos bancarios; la empresa también informa de depósitos de almacenamiento y credenciales expuestos. En registros capturados en agosto de 2026, ThreatFabric encontró miles de entradas de credenciales de aplicaciones, datos de dispositivos, historial de bloqueos de pantalla y perfiles financieros con campos de ingresos mensuales y puntuaciones de riesgo.

Qué defensas recomienda ThreatFabric

La recomendación central es comprobar las señales de integridad en el servidor del banco, no confiar únicamente en respuestas generadas en el dispositivo. ThreatFabric propone vincular Play Integrity a la sesión y a la acción protegida, comprobar certificados revocados y añadir análisis de comportamiento. Las señales de accesibilidad y captura de pantalla pueden complementar esos controles, pero no deberían ser el único motivo para bloquear una operación.

ThreatFabric también recomienda mantener controles de riesgo transaccional en el inicio de sesión, la recuperación de credenciales, el alta de beneficiarios y la aprobación de pagos. Sobre la táctica de una VPN no funcional que puede cortar la conexión durante la instalación del payload y reducir las comprobaciones en la nube, la empresa aclara que Google Play Protect conserva la detección sin conexión de aplicaciones potencialmente dañinas conocidas, según la cobertura de The Hacker News que atribuye esa explicación a ThreatFabric.