Android-троян Hirudo подменяет приложения индонезийских банков

ThreatFabric обнаружила Hirudo, банковский троян для удалённого доступа на Android. Он похищает учётные данные, управляет устройством, захватывает экран и видео с камеры, а также собирает SMS-сообщения. Троян распространяют через приложения для покупок, просмотра порнографических видео и коротких драматических сериалов, которые на первый взгляд выглядят легитимными. Среди них Shopora, 1V1 X, ZoyaTV и KoiShort.

Распространение и сбор данных

Дропперы показывают функциональный контент через WebView или каталоги, а затем отображают поддельное уведомление о необходимости обновления. После этого Hirudo устанавливается отдельным APK-файлом. Полезная нагрузка запрашивает разрешения на использование специальных возможностей Android и доступ к уведомлениям. Некоторые дропперы во время установки создают VPN-чёрную дыру, чтобы нарушить трафик IPv4.

Hirudo собирает банковские учётные данные, платёжные ПИН-коды, графические ключи разблокировки, пароли, SMS-сообщения, содержимое экрана и видеопоток с камеры. Троян поддерживает просмотр экрана в реальном времени через WebRTC и при первом запуске сканирует SMS за 90 дней, уделяя внимание сообщениям от настроенных финансовых отправителей.

Кроме того, Hirudo показывает поверх приманочных приложений прозрачные поддельные страницы оформления заказа. Троян перехватывает платёжные данные и возвращает сфабрикованные ответы об успешном выполнении операции. Окна для ввода банковских учётных данных настраиваются под конкретное приложение. Hirudo также считывает содержимое экрана, чтобы мошеннические взаимодействия выглядели правдоподобно.

Подмена банковских приложений

Одна из возможностей Hirudo заключается в замене подлинных банковских приложений модифицированными копиями. Троян отслеживает установленные финансовые приложения и проверяет их сертификаты, затем предлагает жертве удалить легитимное приложение и устанавливает замену с исходными именем пакета и версией. Копии подписаны тестовым ключом Android. Такая подпись препятствует обычным обновлениям, поэтому перед установкой замены нужно удалить подлинное приложение.

Для восьми приложений семи индонезийских банков создали специализированные замены. При запуске изменённое банковское приложение внедряет одну строку, которая загружает движок перехвата на основе YAHFA и Dobby. Перехваты скрывают подпись тестового ключа и службу специальных возможностей Hirudo, удаляют флаг FLAG_SECURE, чтобы экран можно было захватывать, изменяют сертификаты аутентификации ключей и перенаправляют запросы Play Integrity на сервер оператора по HTTP.

Активацией управляет файл-триггер. Он позволяет модифицированному приложению оставаться менее заметным, когда RAT отсутствует.

Инфраструктура и география целей

Инфраструктура использует Amazon CloudFront, атрибуцию OpenInstall, идентификаторы Meta Pixel* и одноразовые приманочные приложения. Основная цель подмены приложений находится в Индонезии. При этом в коде есть ссылки на финансовые цели в Китае, Индии, Мексике, Марокко и Таиланде. Также используется брендинг малайзийских банков и электронных кошельков.

По имеющимся данным, на стороне сервера хранились учётные данные, сведения об устройствах, данные экранов блокировки и финансовые записи.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.

* Meta Platforms — признана в России экстремистской и её деятельность запрещена.