Hirudo sa pokúša nahrádzať bankové aplikácie upravenými APK, upozorňuje ThreatFabric
Nový Android bankový trójsky kôň Hirudo láka používateľov na falošné aktualizácie a pokúša sa nahradiť ich bankovú aplikáciu upravenou verziou.
Bezpečnostná firma ThreatFabric 14. októbra zverejnila analýzu malvéru Hirudo Android RAT, ktorý cieli na mobilné bankovníctvo nezvyčajnou technikou. Namiesto prekrytia legitímnej bankovej aplikácie phishingovou obrazovkou sa pokúša pôvodnú aplikáciu odinštalovať a nahradiť ju upraveným APK súborom.
Podľa výskumníkov sa Hirudo šíri cez návnadové aplikácie vydávajúce sa za nástroje na nakupovanie alebo zábavu. Používateľovi zobrazia falošnú výzvu na aktualizáciu, ktorá vedie k inštalácii samostatného škodlivého APK. Práve tento súbor následne zabezpečuje ďalšie kroky útoku.
Hirudo Android RAT upravuje ochrany priamo v aplikácii
ThreatFabric našiel osem účelovo upravených náhrad bankových aplikácií určených pre sedem indonézskych bánk. Upravené verzie sa pokúšajú obísť viacero bezpečnostných kontrol priamo vo vnútri bankovej aplikácie, vrátane kontroly podpisu aplikácie, mechanizmov Accessibility, ochrany pred snímaním obrazovky a Play Integrity.
Takýto postup sa líši od bežných útokov, pri ktorých škodlivá aplikácia získava dáta zobrazovaním falošných prihlasovacích formulárov nad legitímnym bankovým softvérom. Pri náhrade APK útočník mení samotnú aplikáciu, s ktorou používateľ pracuje. Lokálne kontroly v nej preto môžu byť zmanipulované.
Útok má zároveň dôležité praktické obmedzenie. Nahradenie bankovej aplikácie vyžaduje odinštalovanie pôvodnej verzie a následné povolenie inštalácie náhrady. Používateľ môže tento proces prerušiť. Riziko sa týka najmä ľudí, ktorí inštalujú aplikácie mimo dôveryhodných obchodov a povoľujú im citlivé oprávnenia.
Zber údajov a vzdialený prístup
Hirudo podľa analýzy dokáže zbierať prihlasovacie údaje, platobné PIN-y a SMS správy. Operátorom poskytuje aj funkcie vzdialeného prístupu vrátane zobrazenia obrazovky a prístupu ku kamerám. Tieto schopnosti môžu útočníkom umožniť sledovať činnosť obete a získavať údaje používané pri overovaní operácií.
Výskumníci uviedli, že niektoré distribučné cesty škodlivých APK zostávali aktívne ešte v októbri 2026. Počet reálne infikovaných zariadení ani rozsah prípadných finančných škôd však neboli nezávisle potvrdené. Rovnako nie je potvrdené, ktorá konkrétna skupina za kampaňou stojí.
Potvrdené ciele sú v Indonézii
Náhrady bankových aplikácií sú potvrdené pre Indonéziu. ThreatFabric zároveň zaznamenal zoznamy v kóde, ktoré naznačujú záujem o organizácie v Číne, Indii, Mexiku, Maroku a Thajsku. Nejde však o dôkaz aktívnych útokov vo všetkých týchto krajinách.
Pre banky je prípad dôležitý najmä preto, že ochranu nemožno stavať len na kontrolách vykonávaných priamo v zariadení alebo v mobilnej aplikácii. ThreatFabric odporúča overovať integritu a atestáciu na serveri, viazať kontroly na konkrétnu reláciu a citlivú operáciu a používať samostatné kontroly transakčného rizika.
Ďalší vývoj ukáže, či banky alebo Google zverejnia konkrétne varovania, blokácie indikátorov či ďalšie opatrenia. Dôležité budú aj prípadné nové vzorky, domény a hashe APK, ako aj potvrdené údaje o infekciách alebo rozšírení kampane mimo Indonézie.
Zdroje
- ThreatFabric — Hirudo: From Fake Updates to Patched Banking Apps – Primárna technická analýza Hirudo, mechanizmu výmeny aplikácií, cieľov, schopností, distribúcie a odporúčaných mitigácií.
- BleepingComputer — Hirudo Android malware replaces banking apps to evade security checks – Nezávisle sumarizuje zistenia ThreatFabric vrátane limitov útoku a neznámeho počtu obetí.
- SecurityWeek — Novel Android RAT ‘Hirudo’ Replaces Banking Apps With Trojanized Copies – Potvrdzuje, že ide o čerstvo publikovaný a relevantný vývoj v Android bankovom malvéri.
Overené a aktualizované: 15. 10. 2026 15:19
