Hirudo för Android ersätter bankappar för att kringgå säkerhetskontroller

Enligt mobil säkerhetsföretaget ThreatFabric stjäl den nya Android-skadligvaran Hirudo bankuppgifter genom att ersätta legitima bankappar med modifierade kopior. Forskarna hittade skadliga kopior av åtta bankappar.

De ändrade apparna behåller nästan all ursprunglig kod men laddar en hookningsmotor som bygger på ramverken YAHFA och Dobby med öppen källkod. Motorn kan kringgå kontroller av appsignaturer, Accessibility och Play Integrity genom att byta ut certifikatuppgifter eller returnera tomma listor. ThreatFabric uppger att offren kan avbryta processen vid två tillfällen.

ThreatFabric har observerat att Hirudo utger sig för att vara minst sju indonesiska banker. Skadligvaran riktar sig också mot finansorganisationer i Kina, Indien, Mexiko, Marocko och Thailand. Den sprids vanligtvis via till synes legitima appar för shopping, vuxeninnehåll eller kortdrama. Appar av det slaget fungerar som laddare och visar falska uppdateringsmeddelanden.

När Hirudo har installerats kan den stjäla lösenord, betalnings-PIN-koder, upplåsningshemligheter och SMS-meddelanden, strömma skärmen och få åtkomst till båda kamerorna. Falska kassasidor samlar in betalnings-PIN-koder och visar sedan ett påhittat besked om att betalningen har lyckats. ThreatFabric fann att Google listar två certifikat kopplade till skadligvarans medföljande attesteringsnyckelbehållare som komprometterade. Därför kan spärrkontroller på serversidan upptäcka förfalskningarna. Forskarna fann också tusentals uppgifter om appinloggningar och annan data i en oskyddad backendpanel. Antalet drabbade är okänt.

ThreatFabric rekommenderar att banker kontrollerar integriteten på serversidan och behåller beteendebaserade kontroller och riskkontroller för transaktioner. Forskarna beskriver Hirudo som ett skifte mot att angripa säkerhetsmekanismerna i bankapparna.