Hirudo sustituye apps bancarias en Android para robar credenciales

Leer en: English · Français · Deutsch · Español

Investigadores de seguridad han detectado un nuevo troyano bancario para Android que adopta una táctica directa: sustituye las apps bancarias legítimas por copias parcheadas dentro del dispositivo objetivo, usando las propias comprobaciones de la app en su contra. Conocido como Hirudo, el malware emplea un motor de hooking para eludir las protecciones internas de la app bancaria, incluidas las comprobaciones del certificado de firma, permisos de Accesibilidad y las respuestas de Play Integrity.

Hirudo ha sido observado apuntando al menos a ocho apps bancarias indonesias, aunque los investigadores señalan que la campaña también muestra actividad contra instituciones financieras en China, India, Mexico, Morocco y Thailand. Los atacantes difunden Hirudo introduciéndolo en dropper apps que aparentan ser legítimas para compras, contenido para adultos o minidramas. Esos tipos de apps atraen a los usuarios con contenido real y luego activan un aviso falso de “actualización” que conduce a solicitudes de permisos y a la instalación de la copia parcheada de la app bancaria.

Una vez instalada, Hirudo desinstala la app bancaria original del dispositivo y descarga una versión parcheada. El malware usa entonces el propio proceso de la app para ejecutar un motor de hooking que puede clonar y alterar el comportamiento de la aplicación. Específicamente, el código del atacante sustituye el certificado de firma genuino cuando es consultado, oculta cualquier servicio de accesibilidad habilitado y desactiva las protecciones contra capturas de pantalla para que el atacante pueda ver o capturar la pantalla en tiempo real. También puede modificar certificados de attestation de clave y reenviar las comprobaciones de Play Integrity a un servidor controlado por el operador, engañando así las defensas del banco.

Más allá de eludir comprobaciones, Hirudo está diseñado para el robo de credenciales y la toma total del dispositivo. Puede robar contraseñas bancarias, PIN de pago, secretos de desbloqueo y mensajes SMS. También soporta control remoto del teléfono infectado, captura de pantalla y cámara, y pantallas de pago falsas que recogen PIN antes de mostrar una página de éxito apócrifa.

ThreatFabric, que describió Hirudo en detalle, apunta a una limitación importante para los defensores: la keybox de attestation de la app parcheada está filtrada públicamente y Google lista algunos certificados como comprometidos. Eso significa que las comprobaciones de revocación en el servidor pueden detectar falsificaciones, pero también demuestra que los atacantes pueden moverse rápido reutilizando material filtrado. Los investigadores indican que el daño se amplifica por un backend centralizado que vincula campañas a datos robados como estado del dispositivo, historial de bloqueo de pantalla y datos de riesgo financiero.

Lo que esto significa para los usuarios es simple: las protecciones habituales pueden no ser suficientes si tu dispositivo acaba con una app bancaria parcheada. Para reducir el riesgo, evita descargar apps de tiendas no oficiales, mantén el dispositivo actualizado y realiza escaneos regulares con Play Protect. Si detectas comportamiento inusual en tus apps bancarias, avisos inesperados, solicitudes de permisos extra o diálogos de actualización desconocidos, trátalo como sospechoso y reinstala la app legítima desde la tienda oficial.

Se insta a los bancos a reforzar sus comprobaciones de integridad y attestation en el servidor, vincular las verificaciones a sesiones activas y mantener controles de riesgo de transacción sólidos. La amenaza en evolución muestra que los atacantes pasan de trucos a nivel de dispositivo a manipulaciones dentro de apps bancarias de confianza, por lo que la defensa es un desafío compartido entre usuarios, desarrolladores de apps e instituciones financieras.