Il trojan Android Hirudo sostituisce le app bancarie con versioni dannose

Gli analisti di ThreatFabric hanno scoperto il trojan bancario Hirudo per Android, che sostituisce le app bancarie legittime con versioni dannose. Attualmente, Hirudo prende di mira otto app bancarie dell'Indonesia, ma potrebbe colpire anche quelle di Cina, India, Messico, Marocco e Thailandia. La diffusione avviene tramite app apparentemente legittime come Shopora e 1V1 X, che contengono il loader di Hirudo.

Gli analisti di ThreatFabric hanno scoperto un nuovo trojan bancario Hirudo per Android che sostituisce le applicazioni bancarie legittime con versioni modificate. Questo consente al malware di aggirare i controlli di sicurezza, rubare le credenziali e fornire agli hacker l’accesso remoto ai dispositivi delle vittime.

Secondo gli esperti, Hirudo combina le funzionalità di un trojan bancario e di un RAT completo.

Attualmente, il malware prende di mira otto applicazioni bancarie dell’Indonesia, ma l’analisi del codice dannoso ha rivelato che gli hacker potrebbero utilizzarla anche contro le applicazioni bancarie di Cina, India, Messico, Marocco e Thailandia.

Per diffondere il malware, gli hacker hanno utilizzato applicazioni che, a prima vista, sembrano legittime e svolgono effettivamente le funzioni dichiarate. Tra queste: l’applicazione di acquisti Shopora, il servizio per adulti 1V1 X, nonché le applicazioni ZoyaTV e KoiShort.

Dopo l’installazione, il loader verifica la presenza di Hirudo nel sistema e, se il malware non è ancora presente, lo scarica. Successivamente, agli utenti viene mostrato un falso avviso di aggiornamento, sotto la cui copertura vengono richiesti permessi, inclusi quelli per l’accesso ai servizi di Accessibilità.

Ottenuti i diritti necessari, Hirudo identifica le applicazioni bancarie di destinazione installate sul dispositivo, le disinstalla e scarica copie modificate e dannose. Per installare le falsificazioni, il malware utilizza i servizi di Accessibilità.

Gli esperti osservano che le applicazioni false contengono quasi tutto il codice sorgente originale, ma includono anche un motore integrato per l’intercettazione delle chiamate (hook), costruito sulla base dei framework open source YAHFA e Dobby. Grazie a ciò, il malware è in grado di aggirare i meccanismi di protezione direttamente all’interno delle applicazioni bancarie.

In particolare, durante la verifica della firma digitale viene sostituito il certificato originale con uno di prova, mentre in risposta alla richiesta dell’elenco delle funzioni di Accessibilità attive viene restituito un elenco vuoto. Inoltre, il malware disattiva la protezione contro la cattura di screenshot, sostituisce i certificati di attestazione delle chiavi e reindirizza le richieste di Google Play Integrity attraverso il server degli hacker.

Su un dispositivo infetto, Hirudo può intercettare le password bancarie, i PIN di pagamento, i dati per lo sblocco del dispositivo e il contenuto dei messaggi SMS. Le pagine false create dal malware raccolgono i PIN di pagamento e mostrano poi all’utente un falso risultato di pagamento per fuorviarlo, rubando contemporaneamente i dati.

Inoltre, il trojan supporta la trasmissione dello schermo della vittima tramite WebRTC, fornisce ai propri operatori la possibilità di gestire da remoto lo smartphone e può trasmettere immagini dalla fotocamera e registrare l’audio.

Gli esperti hanno rilevato nella dashboard amministrativa non protetta degli operatori di Hirudo migliaia di record con credenziali di applicazioni, informazioni sui dispositivi e profili finanziari delle vittime. Tuttavia, il numero esatto di vittime è ancora sconosciuto.

Secondo gli esperti, Hirudo dimostra un nuovo approccio per aggirare la protezione delle applicazioni bancarie: invece di attaccare a livello di dispositivo, gli hacker interferiscono direttamente con i meccanismi di verifica della sicurezza delle applicazioni stesse. Inoltre, il motore utilizzato dagli hacker può essere adattato per attaccare altre banche e regioni.

Gli esperti concludono che le banche non dovrebbero fare affidamento esclusivamente sui controlli locali e sulla protezione di Play Integrity, ma dovrebbero verificare l’attestazione lato server, analizzare il comportamento dei clienti e controllare i rischi durante l’autorizzazione e l’esecuzione delle transazioni.

Carolina Vivianti

Carolina Vivianti è consulente/Advisor autonomo in sicurezza informatica con esperienza nel settore tech e security. Ha lavorato come Security Advisor per Ford EU/Ford Motor Company e Vodafone e ha studi presso la Sapienza Università di Roma.

Aree di competenza: Cybersecurity, IT Risk Management, Security Advisory, Threat Analysis, Data Protection, Cloud Security, Compliance & Governance