Троян Hirudo подменяет банковские приложения на Android и обходит их защиту
Изображение: OpenAI
Банковский троян Hirudo для Android заменяет настоящие приложения банков модифицированными копиями, которые обходят встроенные проверки безопасности. Исследователи нидерландской компании ThreatFabric, специализирующейся на мобильной безопасности, обнаружили такие копии для восьми приложений семи банков Индонезии; судя по коду, троян может быть нацелен и на банки Китая, Индии, Мексики, Марокко и Таиланда.
Помимо кражи учётных данных, Hirudo позволяет злоумышленникам удалённо управлять телефоном и видеть его экран, сообщает SecurityWeek.
Загрузчики Hirudo маскируются под приложения магазинов или видеосервисы и предлагают установить троян как обновление. Вредоносное приложение устанавливается отдельно от загрузчика. Пользователь должен отдельно выдать ему разрешения, в том числе на использование служб специальных возможностей Android.
Затем Hirudo показывает ложное уведомление об обновлении банковского приложения, запускает удаление оригинала и скачивает модифицированную копию. Пользователь может прервать этот процесс. Удаление необходимо из-за другой подписи: установить вредоносную копию поверх настоящего приложения Android не позволит.
Внутри подменённого приложения механизм перехвата подставляет настоящий сертификат подписи при проверке и скрывает включённые службы специальных возможностей. Запросы Play Integrity он пересылает на сервер злоумышленников, который возвращает положительный результат проверки.
ThreatFabric советует банкам проверять Play Integrity на сервере, но не считать положительный результат достаточным доказательством того, что приложение не изменено. Исследователи рекомендуют дополнять проверки анализом поведения и сохранять на сервере проверки риска при входе в аккаунт и подтверждении платежей.
