Il 14 ottobre 2026 ThreatFabric ha descritto Hirudo come un trojan bancario per Android capace di rubare credenziali e controllare il dispositivo da remoto. L’analisi attribuisce al malware anche la sostituzione di alcune app bancarie con copie modificate, che alterano i controlli di sicurezza eseguiti all’interno dell’app stessa. ThreatFabric
Dal finto aggiornamento alla copia modificata
Secondo ThreatFabric, la catena comincia con un’app-esca che sembra offrire contenuti funzionanti, come un negozio o un catalogo di video. Il trojan viene installato separatamente, attraverso un falso aggiornamento nell’app-esca, e richiede permessi propri. Shopora (com.agbbh.kjdrttt), 1V1 X (com.onev.vip), KoiShort (com.koishort.app) e ZoyaTV (com.zoyatv.app) sono gli esempi citati da ThreatFabric.
Se individua un’app bancaria presa di mira, Hirudo può mostrare una richiesta di aggiornamento, avviare la rimozione dell’app autentica e scaricare in parallelo una copia specifica per quella banca. La copia conserva il nome del pacchetto e la versione dell’app originale, ma usa una chiave di test pubblica di Android. Per questo Android non può installarla sopra la versione firmata dalla banca: prima va rimossa l’app autentica e poi l’utente deve autorizzare l’installazione della nuova app.
È un passaggio che distingue questa tecnica da una semplice schermata falsa sovrapposta all’app legittima. La copia modificata è progettata per intervenire dentro il processo dell’app bancaria. ThreatFabric riferisce che il codice carica un motore basato su YAHFA e Dobby, strumenti usati per agganciare funzioni Java e native.
I controlli che la copia può manipolare
ThreatFabric attribuisce al codice modificato la capacità di restituire il certificato di firma autentico dell’app, nascondere i servizi di Accessibilità attivi e rimuovere il flag FLAG_SECURE, che limita le acquisizioni dello schermo. L’analisi descrive anche richieste di Google Play Integrity inoltrate via HTTP in chiaro a un server controllato dagli operatori, che restituisce un esito alla copia.
Una risposta positiva di Play Integrity, quindi, da sola non basta a dimostrare che l’app sia integra: nel meccanismo descritto da ThreatFabric, la richiesta viene inoltrata e la risposta è restituita all’app modificata. L’azienda riferisce inoltre che la keybox usata per l’attestazione è trapelata pubblicamente e che almeno due dei certificati inclusi compaiono nell’elenco di revoca di Google come compromessi.
Otto sostituzioni, un registro più ampio
ThreatFabric riferisce di copie sostitutive dedicate a otto app bancarie indonesiane, distribuite su sette banche. Il registro finanziario analizzato nel trojan contiene invece 42 app: un elenco più ampio, distinto dalle otto app per cui sono state individuate copie dedicate.
I dati di Hirudo per il furto di credenziali nominano Indonesia, Cina, India, Messico, Marocco e Thailandia. Il finto checkout incluso nel malware presenta inoltre marchi di banche e portafogli digitali malesi. Sono ambiti diversi: i paesi nei dati di targeting e i marchi presenti nel checkout descrivono le funzioni e i riferimenti del malware.
Il checkout falso si apre in una WebView trasparente sopra la pagina d’ordine dell’app-esca. ThreatFabric riferisce che può raccogliere il PIN di pagamento inserito e restituire un messaggio di acquisto riuscito contraffatto. Tra le altre funzioni attribuite a Hirudo figurano la raccolta di password bancarie e codici di sblocco, la visualizzazione dello schermo in diretta tramite WebRTC, sessioni con le fotocamere, il controllo remoto e la raccolta di SMS, con una scansione iniziale che copre 90 giorni.
ThreatFabric descrive anche l’infrastruttura della campagna: gli APK delle esche venivano distribuiti tramite Amazon CloudFront, mentre i collegamenti alle campagne usavano l’attribuzione di OpenInstall e identificativi Meta Pixel. L’azienda riferisce che un pannello per elaborare gli APK era raggiungibile senza autenticazione e che bucket di archiviazione e credenziali erano esposti. Nei dati acquisiti nell’agosto 2026, ThreatFabric ha individuato migliaia di credenziali per applicazioni, registri dei dispositivi, cronologie della schermata di blocco e profili finanziari con campi relativi a reddito mensile e punteggio di rischio.
Le difese indicate da ThreatFabric
Per le banche, ThreatFabric raccomanda di verificare Play Integrity lato server e legare ogni esito alla sessione e all’azione protetta. Suggerisce anche controlli sulla revoca dei certificati, analisi comportamentali e verifiche del rischio delle transazioni. I segnali locali, come i servizi di Accessibilità attivi o la possibilità di acquisire lo schermo, dovrebbero contribuire alla valutazione, non essere l’unico motivo per bloccare un’operazione.
The Hacker News ha riportato una precisazione di ThreatFabric sul VPN non funzionante usato durante l’installazione del payload: interrompere la connessione può ridurre i controlli basati sul cloud, ma Google Play Protect mantiene il rilevamento offline delle app potenzialmente dannose già note.
