ThreatFabric meldde op 14 oktober 2026 dat de Android-banktrojan Hirudo geselecteerde Indonesische bankapps zou vervangen door aangepaste kopieën die controles binnen de app manipuleren. De beveiligingsonderzoeker beschrijft Hirudo als een trojan voor externe toegang (RAT): malware die inloggegevens kan stelen en een aanvaller op afstand toegang tot het toestel kan geven. ThreatFabric publiceerde zijn analyse die dag.
Van lok-app naar aangepaste bankapp
De aanval begint volgens ThreatFabric met een lok-app die eruitziet als een winkel, videodienst of catalogus met korte drama’s. Voorbeelden zijn Shopora, 1V1 X, KoiShort en ZoyaTV. De lok-app kan inhoud tonen en biedt Hirudo vervolgens aan als een neppe update in de app. Hirudo is een afzonderlijke app en heeft eigen toestemmingen nodig om zijn functies uit te voeren.
Bij een doelbank zoekt de RAT naar de geïnstalleerde bankapp en toont hij een updateverzoek. Daarna opent hij de Android-verwijderaar voor de echte app en downloadt hij tegelijk een aangepaste vervanger. Die kopie behoudt de pakketnaam en versie van de bankapp, maar is ondertekend met een openbare Android-testsleutel. Daardoor kan Android de kopie niet als update over de origineel door de bank ondertekende app installeren: de echte app moet eerst weg en de gebruiker moet de installatie van de vervanger toestaan.
Dat maakt de verwijdering en installatie belangrijke stappen in de beschreven aanvalsketen. Het is geen geruisloze update van de bestaande bankapp.
Controles binnen de app kunnen worden gemanipuleerd
ThreatFabric schrijft dat de aangepaste bankapp een hook-engine laadt: code die bestaande functies onderschept en hun uitkomst kan veranderen. De engine is volgens het bedrijf gebaseerd op YAHFA en Dobby. Zo kan de aangepaste app onder meer het echte ondertekeningscertificaat teruggeven, ingeschakelde toegankelijkheidsdiensten verbergen en FLAG_SECURE verwijderen, een Android-instelling die schermopnames van bepaalde inhoud tegengaat.
Ook Google Play Integrity is betrokken. Hirudo stuurt verzoeken volgens ThreatFabric via onbeveiligd HTTP door naar een server van de aanvallers, die een antwoord terugstuurt dat de aangepaste app accepteert. Een geldig integriteitsoordeel bewijst daardoor op zichzelf niet dat de app ongewijzigd is. ThreatFabric meldt bovendien dat de meegeleverde sleutelset openbaar was uitgelekt en dat ten minste twee certificaten op Googles lijst met ingetrokken attestatiecertificaten als gecompromitteerd stonden.
De aantallen beschrijven verschillende doelgroepen
ThreatFabric rapporteert vervangende versies voor acht Indonesische bankapps bij zeven banken. Daarnaast bevatte het onderzochte register van de RAT 42 financiële apps. Dat zijn twee verschillende tellingen: de acht verwijzen naar apps met een specifieke vervanger, de 42 naar apps in het bredere register.
De gegevens voor het verzamelen van inloggegevens noemen Indonesië, China, India, Mexico, Marokko en Thailand. Het ingebouwde namaakafrekenscherm bevatte ook merknamen van Maleisische banken en digitale portemonnees. Die geografische gegevens horen bij verschillende onderdelen van de analyse.
ThreatFabric beschrijft het afrekenscherm als een transparante WebView over de bestelpagina van de lok-app. Een ingevoerde betaalpincode wordt volgens de analyse doorgestuurd als appPayPwd, waarna de gebruiker een vervalste bevestiging van een geslaagde betaling krijgt. De RAT kan ook neppe bankinlogschermen tonen, het geheim van het vergrendelscherm vastleggen, het scherm live via WebRTC bekijken, camerasessies starten en sms-berichten verzamelen. Voor die sms-verzameling rapporteert ThreatFabric een eerste scanperiode van 90 dagen en een ingestelde lijst met afzenders van banken en digitale portemonnees.
De verspreiding maakte volgens ThreatFabric gebruik van APK-bestanden die via Amazon CloudFront werden aangeboden. Het bedrijf koppelde campagneverkeer aan OpenInstall-attributie en Meta Pixel-ID’s. Ook meldde ThreatFabric een APK-verwerkingspaneel van de beheerders dat zonder aanmelding bereikbaar was, naast blootgestelde opslaglocaties en inloggegevens.
ThreatFabric zei dat achterliggende gegevens die in augustus 2026 waren vastgelegd duizenden inloggegevens voor apps, apparaatgegevens en geschiedenis van vergrendelschermen bevatten. Financiële profielen hadden velden voor maandinkomen en risicoscores.
Welke verdediging ThreatFabric aanbeveelt
Banken kunnen volgens ThreatFabric controles niet uitsluitend laten afhangen van signalen die de app zelf aanlevert. Het bedrijf adviseert Google Play Integrity op de server te controleren en het oordeel te koppelen aan de sessie en de specifieke beschermde handeling. Daarnaast noemt ThreatFabric controle van ingetrokken attestatiecertificaten, gedragsanalyse en risicocontroles voor transacties. Toegankelijkheids- en schermopnamesignalen kunnen daarbij ondersteunend zijn, maar horen niet als enige blokkade te dienen.
The Hacker News citeerde ThreatFabric op 14 oktober 2026 ook over een niet-functionerende VPN in het installatieproces. Die kon de internettoegang onderbreken en zo controles via clouddiensten minder effectief maken; Google Play Protect houdt volgens ThreatFabric wel offline detectie van bekende potentieel schadelijke apps.
