14 października 2026 r. ThreatFabric opublikował analizę, według której trojan bankowy Hirudo ma podmieniać wybrane aplikacje bankowe na Androidzie na zmodyfikowane kopie i manipulować kontrolami bezpieczeństwa działającymi wewnątrz aplikacji. Zgłoszony mechanizm wymaga usunięcia oryginalnej aplikacji, ponieważ Android nie instaluje jej zamiennika na wersji podpisanej przez bank. Analiza ThreatFabric opisuje także, jak zmieniona aplikacja ma przechwytywać dane i zdalnie kontrolować urządzenie.

Jak Hirudo prowadzi do podmiany aplikacji

ThreatFabric opisuje dwuetapowy schemat. Najpierw użytkownik trafia na działającą aplikację-przynętę, na przykład Shopora, 1V1 X, KoiShort lub ZoyaTV. Przynęty mają oferować treści przypominające sklep, katalog wideo albo krótkie seriale. Hirudo jest osobną aplikacją, którą przynęta proponuje jako fałszywą aktualizację; trojan potrzebuje własnych uprawnień, zanim uruchomi funkcje kradzieży danych lub zdalnego sterowania.

Gdy Hirudo wykryje jedną z wybranych aplikacji bankowych, sprawdza jej certyfikat podpisu i wyświetla prośbę o aktualizację. Następnie otwiera deinstalator Androida dla oryginalnej aplikacji, a w tym samym czasie pobiera jej zamiennik przygotowany dla konkretnego banku.

Techniczny szczegół wyjaśnia, dlaczego to nie jest zwykła aktualizacja. Według ThreatFabric zmodyfikowany plik APK zachowuje nazwę pakietu i numer wersji oryginału, ale jest podpisany publicznym kluczem testowym Androida. System nie zainstaluje takiej kopii na aplikacji podpisanej kluczem banku. Najpierw trzeba usunąć oryginał, a potem zatwierdzić instalację zamiennika — dwa momenty, w których użytkownik może przerwać ten proces.

Kontrole bezpieczeństwa pod kontrolą zmienionej aplikacji

W opisanej przez ThreatFabric metodzie atak nie kończy się na wyświetleniu fałszywego ekranu nad prawdziwą aplikacją. Zmodyfikowany kod działa wewnątrz jej procesu i ma podsuwać odpowiedzi na lokalne kontrole. Może zwrócić certyfikat prawdziwej aplikacji, ukryć włączone usługi ułatwień dostępu i usunąć znacznik FLAG_SECURE, który ogranicza przechwytywanie ekranu.

ThreatFabric podaje również, że żądania Google Play Integrity — usługi dostarczającej sygnały o integralności aplikacji — są przekazywane przez zwykły HTTP do serwera operatorów, a uzyskany wynik trafia z powrotem do zmienionej aplikacji. W jej silniku mają działać YAHFA i Dobby, narzędzia do podmieniania zachowania metod i funkcji. Raport opisuje też dołączony keybox do atestacji jako publicznie ujawniony; co najmniej dwa zawarte w nim certyfikaty mają figurować na liście unieważnionych certyfikatów Google.

Dlatego sam prawidłowy wynik Play Integrity nie wystarcza, by uznać aplikację za nienaruszoną. ThreatFabric zaleca sprawdzanie wyniku po stronie serwera i wiązanie go z konkretną sesją oraz chronionym działaniem.

Co obejmują podane przez ThreatFabric liczby

ThreatFabric podał, że przygotowano zamienniki dla ośmiu indonezyjskich aplikacji bankowych z siedmiu banków. To odrębna liczba od rejestru trojana, w którym znalazły się 42 aplikacje finansowe. Dane o celach kradzieży danych logowania wymieniają Indonezję, Chiny, Indie, Meksyk, Maroko i Tajlandię. W fałszywym checkoutcie pojawiają się też malezyjskie marki banków i portfeli cyfrowych.

W samym checkoutcie, opisanym jako przezroczysta nakładka WebView na stronę zamówienia przynęty, Hirudo ma przechwytywać wpisany PIN płatniczy i zwracać fałszywe potwierdzenie sukcesu. Inne przypisywane mu funkcje obejmują fałszywe formularze logowania do banku, przechwytywanie hasła blokady ekranu, podgląd ekranu przez WebRTC, sesje z przednią lub tylną kamerą oraz zdalne sterowanie. ThreatFabric podaje również, że trojan skanuje SMS-y z początkowego okresu 90 dni i korzysta z listy nadawców bankowych oraz portfeli cyfrowych.

Analiza ThreatFabric opisuje także infrastrukturę kampanii: pliki APK przynęt miały być dostarczane przez Amazon CloudFront, a atrybucję instalacji i kampanii łączono z OpenInstall oraz identyfikatorami Meta Pixel. Panel operatorów do przetwarzania plików APK miał być dostępny bez logowania; ThreatFabric opisał też odsłonięte zasobniki danych i dane uwierzytelniające. W sierpniu 2026 r. zarejestrowane dane backendu miały obejmować tysiące wpisów dotyczących danych logowania do aplikacji, dane urządzeń, historię blokady ekranu oraz profile finansowe z polami miesięcznego dochodu i oceny ryzyka.

Jakie zabezpieczenia zaleca ThreatFabric

Poza kontrolą Google Play Integrity na serwerze ThreatFabric zaleca sprawdzanie unieważnionych certyfikatów atestacji, analizę zachowania aplikacji i ocenę ryzyka transakcji po stronie backendu. Sygnały dotyczące ułatwień dostępu i przechwytywania ekranu mają być wskazówkami pomocniczymi, a nie jedyną podstawą blokady. W praktyce oznacza to, że bank nie powinien opierać decyzji o logowaniu ani transakcji wyłącznie na wyniku zwróconym przez aplikację działającą na urządzeniu.

W relacji z 14 października 2026 r. The Hacker News przytoczył wyjaśnienie ThreatFabric dotyczące niedziałającej funkcji VPN używanej podczas instalacji: może ona ograniczać kontrole wymagające połączenia z chmurą, ale Google Play Protect zachowuje wykrywanie offline znanych potencjalnie szkodliwych aplikacji. Relacja The Hacker News przypisuje ThreatFabric ocenę, że ta technika ma ograniczać skuteczność kontroli online, a nie całkowicie wyłączać Play Protect.