El malware Hirudo para Android sustituye aplicaciones bancarias para evadir controles de seguridad

Según la empresa de seguridad móvil ThreatFabric, el nuevo malware para Android Hirudo roba credenciales bancarias al sustituir aplicaciones bancarias legítimas por copias modificadas. Los investigadores encontraron copias maliciosas de ocho aplicaciones bancarias.

Las aplicaciones modificadas conservan casi todo el código original, pero cargan un motor de hooking basado en los frameworks de código abierto YAHFA y Dobby. Este puede evadir las comprobaciones de firma de aplicaciones, Accessibility y Play Integrity al sustituir información de certificados o devolver listas vacías. ThreatFabric afirma que las víctimas pueden interrumpir el proceso en dos momentos.

ThreatFabric ha observado que Hirudo suplanta al menos a siete bancos indonesios. El malware también ataca a entidades financieras de China, India, México, Marruecos y Tailandia. Suele distribuirse mediante aplicaciones aparentemente legítimas de compras, contenido para adultos o dramas cortos, que actúan como cargadores y muestran avisos de actualización falsos.

Una vez instalado, Hirudo puede robar contraseñas, PIN de pago, secretos de desbloqueo del dispositivo y mensajes SMS; transmitir la pantalla y acceder a ambas cámaras. Las páginas de pago falsas recopilan los PIN y luego muestran un resultado inventado de pago correcto. ThreatFabric descubrió que Google incluye como comprometidos dos certificados asociados al almacén de claves de atestación incluido con el malware; por ello, las comprobaciones de revocación en el servidor pueden detectar esas falsificaciones. Los investigadores también encontraron miles de registros de credenciales de aplicaciones y otros datos en un panel backend sin protección. Se desconoce el número de víctimas.

ThreatFabric recomienda que los bancos comprueben la integridad en el servidor y mantengan controles de comportamiento y de riesgo de las transacciones. Los investigadores describen Hirudo como un giro hacia los mecanismos de seguridad integrados en las aplicaciones bancarias.