Троян Hirudo научился не просто накладывать фальшивые окна поверх банковских приложений, а заменять их модифицированными копиями. Исследователи обнаружили восемь таких подделок: они обходят проверку подписи приложения, скрывают активные службы специальных возможностей и вмешиваются в Play Integrity. Для банков и Android-разработчиков это неприятный сдвиг: защита устройства уже не гарантирует, что само приложение осталось тем, чем его выпустили.
Как сообщает BleepingComputer, мобильные специалисты ThreatFabric зафиксировали кампанию, в которой вредоносное ПО маскируется под приложения для покупок, взрослого контента и коротких драм. Среди названий — Shopora, 1V1 X, ZoyaTV и KoiShort. Эти приложения не обязательно выглядят как пустышки: они способны дать пользователю обещанный контент, а затем показать фальшивое уведомление об обновлении. Следом идут запросы разрешений, в том числе на доступ к службе специальных возможностей Android.
Получив такой доступ, вредонос запускает удаление настоящего банковского клиента, скачивает его изменённую версию и пытается установить её от имени пользователя. Схема не без риска для атакующих: жертва может заметить деинсталляцию или прервать установку. Но если замена прошла, пользователь открывает знакомое банковское приложение с привычным интерфейсом, а внутри уже работает чужой код.
Подмена вместо привычных оверлеев
Модифицированный клиент сохраняет почти весь код оригинального банковского приложения. В него добавлен механизм перехвата, построенный на открытых фреймворках YAHFA и Dobby. Он работает прямо в процессе банковской программы, поэтому защитные проверки вызываются как будто из доверенного приложения — и получают подложенные ответы.
По данным ThreatFabric, механизм умеет подменять сведения о настоящем сертификате подписи, когда приложение запрашивает их у системы. Он также скрывает включённые Accessibility-сервисы, отключает запрет на создание скриншотов и меняет данные ключевой аттестации. Запросы Play Integrity при этом могут перенаправляться через сервер, контролируемый операторами кампании. В результате банковское приложение рискует увидеть «чистое» окружение там, где на самом деле активны инструменты удалённого управления и перехвата данных.
Это заметно отличается от более привычной модели Android-банкерства, где злоумышленники делают ставку на оверлеи, поддельные страницы входа или удалённое управление поверх настоящего приложения. Троян Hirudo атакует именно доверенную границу: не убеждает пользователя открыть похожую программу, а пытается превратить в такую программу исходный банковский клиент. Для разработчиков это означает, что проверка пакета только на устройстве становится слабым сигналом — её результаты могут быть перехвачены до того, как они попадут в логику приложения.
У метода есть и вполне практическое ограничение. Используемый злоумышленниками набор ключей для аттестации уже утёк в публичный доступ, а Google пометила два связанных сертификата как скомпрометированные. Значит, серверная часть банка может выявить подделку, если действительно проверяет отзыв сертификатов. Это важная оговорка: сама по себе проверка Play Integrity не превращается в бесполезную, но доверять ей без серверной валидации опасно.
Кого атакуют и что делать банкам
На момент исследования кампания была ориентирована прежде всего на Индонезию: аналитики видели имитацию как минимум семи местных банков. При этом Hirudo нацелен и на финансовые организации Китая, Индии, Мексики, Марокко и Таиланда. В незащищённой панели управления исследователи нашли тысячи записей с учётными данными приложений, а также информацией об устройствах, блокировке экрана и финансовом профиле. Точное число пострадавших неизвестно, поэтому эти записи нельзя автоматически считать количеством жертв.
После установки вредонос способен собирать банковские пароли, платёжные PIN-коды, секреты разблокировки устройства и SMS. Операторы могут в реальном времени видеть экран, делать снимки, записывать звук и получать доступ к обеим камерам. Для кражи платёжного PIN-кода используются фальшивые страницы оформления платежа: после ввода кода жертве показывают нарисованный экран об успешной операции. Удобство интерфейса, как обычно, работает не на того клиента.
Для банковских команд вывод довольно приземлённый. Проверки целостности и аттестации нужно оценивать на сервере, привязывать к конкретной сессии и чувствительному действию — например, переводу или смене реквизитов. Не менее важны поведенческие сигналы и контроль транзакционных рисков: резкая смена устройства, нетипичная последовательность действий, необычное получение разрешений и аномальное удалённое управление могут дать больше пользы, чем одиночный флаг «устройство прошло проверку». Командам мобильной разработки также стоит тестировать, как приложение ведёт себя при подмене API, скрытии Accessibility и снятии флага защиты от скриншотов.
Пользователям рекомендация скучная, зато рабочая: не устанавливать APK из неофициальных каталогов, обновлять Android и периодически запускать Play Protect. Но ключевая проблема шире пользовательской осторожности. Троян Hirudo показывает, что банковские трояны всё активнее идут не вокруг защит приложения, а внутрь него. Следующим испытанием для мобильного банкинга станет не наличие ещё одной локальной проверки, а способность серверной части отличить реального клиента от его почти неотличимой копии.