Новая вредоносная программа для Android под названием Hirudo крадет учетные данные банковских счетов, заменяя легитимные банковские приложения модифицированными версиями, которые отключают все проверки безопасности.

Исследователи выявили вредоносные копии восьми банковских приложений, которые используют механизм перехвата для обхода проверок цифровой подписи приложения, специальных возможностей и целостности Google Play, подменяя информацию о сертификатах или возвращая пустые списки.

Злоумышленники могут использовать Hirudo для кражи учетных данных, удаленного управления зараженными телефонами в режиме реального времени, сбора сообщений, создания скриншотов и записи звука.

Новинку заметили исследователи ThreatFabric, сообщившие, что вредоносная ПО Hirudo, как было замечено, выдавала себя за семь индонезийских банков, но также нацелена на финансовые организации в Китае, Индии, Мексике, Марокко и Таиланде.

Вредоносное ПО обычно распространяется через приложения для покупок (Shopora), контента для взрослых (1V1 X) или коротких сериалов (ZoyaTV, KoiShort), которые выглядят легитимными и реализуют заявленную функциональность.

Исследователи полагают, что эти приложения действуют как загрузчики вредоносного ПО для Hirudo, отображая поддельное уведомление об «обновлении», которое приводит к запросам на предоставление разрешений, в том числе для служб специальных возможностей.

После установки Hirudo запускает деинсталлятор настоящего банковского приложения, загружает модифицированную копию и использует разрешение на доступ к специальным возможностям для его установки.

ThreatFabric объясняет, что это деликатный и достаточно рискованный процесс для вредоносной ПО, поскольку жертва может прервать его в двух точках.

Вредоносная копия банковского приложения при этом сохраняет почти весь код оригинального приложения, но загружает механизм перехвата атак, построенный на основе открытых фреймворков YAHFA и Dobby.

При запуске модифицированное приложение выполняет реализует ряд мер по обходу защиты.

В частности, при необходимости подменяет подлинный сертификат подписи, скрывает включенные службы спецвозможностей, снимает защиту создания скриншотов, разрешая удаленный просмотр и запись, а также подменяет сертификаты подтверждения ключей и передаает запросы на проверку целостности воспроизведения через контролируемый сервер.

Однако, как поясняет ThreatFabric, у этих методов обхода есть определенные ограничения.

После активации на устройстве Hirudo может красть банковские пароли, PIN-коды платежей, секреты разблокировки устройства и SMS-сообщения, передавать изображение с экрана операторам и предоставлять доступ к обеим камерам.

Фейковые страницы, создаваемые вредоносной ПО, собирают PIN-коды платежей, а затем отображают сфабрикованный результат успешной оплаты, обманывая жертв и одновременно похищая данные.

Hirudo в настоящее время нацелен на индонезийские банковские приложения. Исследователям удалось идентифицировать тысячи учетных данных приложений в ходе анализа панели управления. Однако точное число жертв остается неизвестным.

Исследователи полагают, что банкам следует проверять целостность и подтверждать данные на стороне сервера, привязывать чеки к сессиям и защищенным действиям, а также сохранять механизмы контроля поведенческих рисков и рисков транзакций.