Em análise publicada em 14 de outubro de 2026, a ThreatFabric descreveu o Hirudo como um trojan bancário para Android que rouba credenciais, permite controlar o aparelho à distância e pode substituir determinados aplicativos bancários por cópias modificadas. Nelas, o código interfere nas verificações de segurança feitas pelo próprio aplicativo. A análise da ThreatFabric detalha o mecanismo e as defesas que os bancos podem adotar.

Um trojan de acesso remoto — ou RAT, na sigla em inglês — combina funções de malware com controle do dispositivo. No caso do Hirudo, a técnica relatada leva a adulteração para dentro do aplicativo bancário: em vez de apenas exibir uma tela falsa sobre o app original, a cópia modificada executa código no processo do próprio aplicativo.

Como o Hirudo substitui um aplicativo bancário

O caminho começa com um aplicativo-isca que oferece conteúdo funcional, como uma loja, um catálogo de vídeos ou dramas curtos. A ThreatFabric citou Shopora, 1V1 X, KoiShort e ZoyaTV como exemplos. O Hirudo chega como um segundo aplicativo, apresentado dentro da isca como uma atualização, e precisa receber permissões próprias para executar suas funções.

Quando identifica um aplicativo bancário visado, o trojan pode exibir um aviso falso de atualização, iniciar a remoção do app legítimo e baixar uma cópia preparada para aquele banco. A cópia conserva o nome do pacote e a versão do original, mas é assinada com uma chave pública de teste do Android. Como essa assinatura não corresponde à do banco, o Android não instala a cópia por cima do aplicativo genuíno: o original precisa ser removido antes, e a instalação seguinte exige autorização.

Essa sequência cria pontos em que o processo pode ser interrompido. A substituição depende da remoção do aplicativo legítimo e da autorização para instalar a cópia. A análise também descreve um mecanismo de hooks — alterações que interceptam chamadas feitas pelo aplicativo — carregado por código inserido na classe Application e baseado em YAHFA e Dobby.

O que a cópia modificada pode alterar

Segundo a ThreatFabric, o código inserido pode fazer o app retornar o certificado de assinatura genuíno, ocultar serviços de acessibilidade ativos e remover a proteção FLAG_SECURE, que restringe capturas de tela. Assim, verificações realizadas localmente podem receber respostas controladas pelo código adulterado.

O Hirudo também retransmite solicitações do Google Play Integrity por HTTP sem criptografia a um servidor controlado pelos operadores, que devolve uma resposta ao aplicativo modificado. A ThreatFabric relata que o keybox de atestação incluído no trojan foi vazado publicamente e que pelo menos dois certificados aparecem na lista de revogação do Google como comprometidos. Uma resposta válida do Play Integrity, por si só, não comprova que o aplicativo esteja intacto.

Alvos, dados e infraestrutura

A ThreatFabric relata cópias de substituição dedicadas a oito aplicativos de sete bancos da Indonésia. Separadamente, o registro financeiro analisado pelo relatório contém 42 aplicativos. Os dados de credenciais do Hirudo citam Indonésia, China, Índia, México, Marrocos e Tailândia; o checkout falso incluía marcas de bancos e carteiras digitais da Malásia.

A isca também pode simular uma compra. A ThreatFabric descreve um checkout falso em uma janela WebView transparente sobre a página de pedidos do próprio aplicativo-isca. Segundo a análise, o PIN de pagamento digitado ali é enviado como appPayPwd, e o fluxo retorna uma confirmação de compra falsa. O trojan também pode capturar senhas de acesso bancário e segredos da tela de bloqueio, transmitir a tela ao vivo por WebRTC, iniciar sessões com as câmeras frontal e traseira e coletar SMS. A varredura inicial de mensagens abrange 90 dias e usa uma lista configurada de remetentes de bancos e carteiras digitais.

A ThreatFabric relata que os APKs das iscas eram distribuídos por rotas do Amazon CloudFront e associados a campanhas por meio de identificadores do OpenInstall e do Meta Pixel. A empresa também descreveu um painel de processamento de APKs acessível sem login, além de buckets de armazenamento e credenciais expostos. Registros de backend capturados em agosto de 2026 continham milhares de entradas de credenciais de aplicativos, dados de dispositivos, histórico da tela de bloqueio e perfis financeiros com campos de renda mensal e pontuação de risco.

Como os bancos podem reforçar as verificações

A ThreatFabric recomenda validar o Play Integrity no servidor e vincular cada resultado à sessão e à ação protegida. Também sugere consultar a revogação de certificados de atestação, usar análise comportamental e manter controles de risco transacional no backend. Sinais locais de acessibilidade e captura de tela podem contribuir para a avaliação, mas não devem ser o único motivo para bloquear uma operação.

Uma VPN deliberadamente não funcional pode cortar a conexão durante a instalação do payload e reduzir verificações em nuvem. Em uma declaração reproduzida pelo The Hacker News, a ThreatFabric ressalvou que o Google Play Protect também faz detecção offline de aplicativos potencialmente nocivos conhecidos; portanto, a tática não desativa completamente essa proteção. O relato do The Hacker News atribui essa explicação à ThreatFabric.