Hirudo Android-Malware ersetzt Bank-Apps mit gefälschten Updates

Lesen auf: English · Français · Deutsch · Español

Sicherheitsforscher haben einen neuen Android‑Banking‑Trojaner entdeckt, der ungewöhnlich direkt vorgeht: Er ersetzt legitime Banking‑Apps auf dem Gerät durch speziell gepatchte Kopien, sodass die App‑eigene Sicherheitslogik ausgespielt wird. Unter dem Namen Hirudo nutzt die Malware eine Hooking‑Engine, um In‑App‑Schutzmechanismen zu umgehen, darunter Prüfungen des Signierungszertifikats, Accessibility‑Berechtigungen und Play Integrity‑Antworten.

Hirudo wurde bei Angriffen auf mindestens acht indonesische Bank‑Apps beobachtet, wobei die Forscher gleichzeitig Aktivität gegen Finanzinstitute in China, Indien, Mexico, Morocco und Thailand melden. Die Täter schleusen Hirudo über Dropper‑Apps ein, die legitim wirken, etwa Shopping, Erwachsenen‑Inhalte oder kurze Dramen. Diese App‑Typen locken Nutzer mit echtem Content, lösen dann jedoch einen gefälschten „Update“‑Hinweis aus, der zu Berechtigungsanfragen und der Installation der gepatchten Bank‑App führt.

Nach der Installation deinstalliert Hirudo die originale Bank‑App vom Gerät und lädt eine gepatchte Version nach. Die Malware nutzt dann den Prozess der App, um eine Hooking‑Engine laufen zu lassen, die das Verhalten der App klonen und verändern kann. Konkret ersetzt der Angreifer‑Code das echte Signierungszertifikat bei Abfragen, verbirgt aktivierte Accessibility‑Dienste und deaktiviert Screenshot‑Schutzmechanismen, sodass Angreifer den Bildschirm in Echtzeit sehen oder erfassen können. Sie kann außerdem Key‑Attestation‑Zertifikate modifizieren und Play Integrity‑Checks an einen von den Angreifern kontrollierten Server weiterleiten, wodurch die Abwehrmechanismen der Bank getäuscht werden.

Über das Umgehen der Prüfungen hinaus ist Hirudo auf Diebstahl von Zugangsdaten und vollständige Übernahme des Geräts ausgelegt. Die Malware kann Bank‑Passwörter, Zahlungs‑PINs, Entsperr‑Secrets und SMS‑Nachrichten abgreifen. Zudem unterstützt sie Fernsteuerung des infizierten Telefons, Bildschirm‑ und Kamerazugriff sowie gefälschte Checkout‑Seiten, die PINs abfragen und anschließend eine gefälschte Bestätigungsseite anzeigen.

ThreatFabric, die Hirudo zuerst ausführlich beschrieben haben, heben eine relevante Einschränkung für Verteidiger hervor: Der Attestation‑Keybox der gepatchten App ist öffentlich geleakt, und Google listet einige Zertifikate als kompromittiert. Das bedeutet, dass serverseitige Widerrufsprüfungen Fälschungen erkennen können, zeigt aber zugleich, wie schnell Angreifer durch Wiederverwendung geleakter Materialien agieren können. Die Forscher berichten außerdem von einem zentralisierten Backend, das Kampagnen mit gestohlenen Daten wie Gerätestatus, Sperrbildschirm‑Historie und finanziellen Risiko‑Daten verknüpft und so den Schaden vergrößert.

Für Alltag‑Nutzer heißt das: Standard‑Schutzmechanismen reichen möglicherweise nicht aus, wenn sich eine gepatchte Bank‑App auf dem Gerät befindet. Zur Risikominderung solltest du Apps nicht aus inoffiziellen Stores installieren, dein Gerät aktuell halten und regelmäßige Play Protect‑Scans durchführen. Wenn du ungewöhnliches Verhalten bei Bank‑Apps beobachtest, unerwartete Hinweise, Anfragen für zusätzliche Berechtigungen oder unbekannte Update‑Dialoge, sei misstrauisch und installiere die legitime App aus dem offiziellen Store neu.

Banken werden aufgerufen, ihre Integritäts‑ und Attestation‑Prüfungen serverseitig zu verschärfen, Verifikationen an aktive Sessions zu binden und starke Transaktions‑Risikokontrollen zu pflegen. Die Entwicklung zeigt, dass Angreifer zunehmend von reinen Geräte‑Tricks zu Manipulationen innerhalb vertrauenswürdiger Banking‑Apps übergehen, was Verteidigung zu einer gemeinsamen Aufgabe von Nutzern, App‑Entwicklern und Finanzinstituten macht.