Onderzoekers waarschuwen voor de Hirudo Android trojan, een nieuwe speler in Android-bankingfraude die een extra stap zet: niet alleen infecteren en gegevens stelen, maar ook de bankapp zelf vervangen door een manipulatieve kop. Daardoor kan de malware beveiligingschecks passeren die normaal juist bedoeld zijn om tampering te detecteren.
Volgens ThreatFabric werkt de campagne met doelgerichte vervangingen van meerdere Indonesische bank-apps en combineert diefstal van inloggegevens en device takeover met functionaliteiten zoals scherm- en camerapakketten en SMS-afhandeling. Daarbij worden gebruikers misleid via ‘dropper’-apps die zich voordoen als legitieme content.
Wat is de Hirudo Android trojan en waarom is dit anders?
Veel Android-banking trojans richten zich op het toestel: ze misleiden gebruikers, sturen overlays aan, stelen credentials en nemen controle over functies. De Hirudo Android trojan voegt echter een escalatie toe doordat hij de bewuste banking-app niet alleen benadert, maar vervangt met een gepatchte variant.
Daarmee verschuift de “wedstrijd” van het device naar de integriteitslogica binnen de app. De malware integreert een hooking engine in het vervangende app-exemplaar zodat interne controles—zoals signatuur- en integriteitsmechanismen—worden vertekend met antwoorden die door de aanvaller zijn voorbereid.
Hoe verspreidt de trojan gebruikers en waarom lijkt het legitiem?
De aanval begint niet met een banking-app die meteen opvalt. In plaats daarvan gebruikt men zogenoemde dropper-apps die de trojan als apart installatiepakket meenemen. In de praktijk wordt de gebruiker gelokt door apps uit categorieën zoals shopping, adult video en entertainment.
ThreatFabric noemt onder meer deze app-voorbeelden (package-namen): Shopora (com.agbbh.kjdrttt), 1V1 X (com.onev.vip), KoiShort (com.koishort.app) en ZoyaTV (com.zoyatv.app). De dropper toont daarbij echte content in bijvoorbeeld een WebView, met een winkel- of videocatologus-ervaring die vertrouwd aanvoelt.
Op de achtergrond draait vervolgens een vaste startroutine: de dropper verzamelt tracking-/promotiegegevens, haalt campagne-instellingen op en controleert of de payload (de RAT) al aanwezig is én of bepaalde rechten zijn ingeschakeld, zoals accessibility en notificatietoegang.
De misleiding in de app: nep-updates en toestemming forceren
Als de payload nog niet actief is, toont de dropper een valse updateprompt. Die prompt stuurt niet aan op een duidelijke “installatieroute” die door gebruikers kritisch wordt bekeken, maar probeert juist een schijnbaar normale updateflow te starten.
Een belangrijk punt uit de observaties: de trojan wordt als tweede app geïnstalleerd. Daardoor moet de gebruiker de tweede app ook daadwerkelijk toestaan om eigen rechten te krijgen vóórdat de kwaadaardige functies kunnen starten.
Antidetectie: VPN die niet werkt
Om detectie te verminderen past de Hirudo Android trojan volgens ThreatFabric een methode toe die lijkt op eerder waargenomen gedrag in andere campagnes: voorafgaand aan de payload-installatie wordt een VPN geconfigureerd die bewust niet functioneert.
Het doel hiervan is naar verwachting om online checks te frustreren die via cloudmechanismen worden uitgevoerd. Tegelijk meldt ThreatFabric dat Play Protect óók offline detectie kan doen voor bekende schadelijke apps. Daardoor concludeert ThreatFabric dat de aanpak waarschijnlijk vooral bedoeld is om online reputatie- en code-analyse-effectiviteit te verminderen, niet om Play Protect volledig uit te schakelen.
Wat doet de trojan op het toestel?
De functionaliteit is typisch voor Android-bankingfraude, maar wel breed: de malware ondersteunt credential theft en live remote control. Daarnaast worden volgens ThreatFabric scherm- en camera-gerelateerde capture, SMS-diefstal en device overname genoemd.
Afhankelijk van de lok-app kan de dropper ook nep-schermen tonen om betaal-PIN’s of inloggegevens voor bank- en wallet-apps te verzamelen. Denk aan fake lockscreen pattern/pin overlays en schermen die gebruikers “naar waarheid” laten handelen, terwijl de aanvaller de signalen opvangt.
Ook wordt het apparaat ingezet als platform voor campagnebeheer: het backend verwerkt gegevens zoals device records en lock-screen historie en kent financiële profielen toe met velden zoals maandinkomen en een risicoscore.
De kern: bankapps vervangen en interne checks omzeilen
Wat de Hirudo Android trojan onderscheidt, is de manier waarop hij de targetbank-app benadert. Voor acht Indonesische apps maakt de malware een bijna identieke vervangende variant die speciaal is ontworpen om beveiligingschecks in de app zelf te blinden.
Het proces ziet er—op hoofdlijnen—als volgt uit: de RAT detecteert de geïnstalleerde banking-app via accessibility, vergelijkt het signing certificate met een opgeslagen referentie en toont vervolgens een nep “update”-prompt.
Daarna wordt de echte app via de Android-uninstaller geopend (zonder te wachten op een expliciete actie van de gebruiker) en wordt de vervangende bank-specifieke app parallel gedownload. Het resultaat: de gebruiker denkt dat een normale update plaatsvindt, terwijl er in feite een gemanipuleerde kop van de bankapp wordt geplaatst.
Hoe worden beveiligingsmechanismen misleid?
ThreatFabric beschrijft dat het vervangende app-exemplaar “aanvaller-gefeedde” antwoorden teruggeeft op functies die integriteit moeten bewaken. Voorbeelden die genoemd worden:
- Het retourneert het “echte” signing certificate dat de aanvaller vooraf heeft klaargezet.
- Het geeft een lege lijst terug wanneer de app query’s doet naar ingeschakelde accessibility services.
- Het haalt de FLAG_SECURE-bescherming weg, zodat de schermen op afstand kunnen worden bekeken en vastgelegd.
Daarnaast worden key-attestation certificaten opnieuw gesigneerd met een ingebouwde keybox. Ook lijken Play Integrity requests te worden doorgestuurd naar een server die door de operator wordt beheerd, die vervolgens een verdict terugstuurt dat de app accepteert.
ThreatFabric onderstreept daarbij twee belangrijke verdedigingspunten. Ten eerste: de attestation keybox die de engine meelevert is niet per se “eigen” aan de operators—het betreft een publiek gelekte keybox. Ten tweede: omdat de Integrity request niet “echt” tot stand komt, is een geldige Integrity-response alleen geen sluitend bewijs dat de app niet gemanipuleerd is.
Hoe herken je dit soort fraude-aanpak in je organisatie?
Omdat de aanval draait om app-replacement en interne integriteitschecks, helpt het vooral om alert te zijn op het proces achter incidenten: nieuwe apps via onbekende bronnen, onverwachte updateflows en het vragen om uitzonderlijke rechten (zoals accessibility of notificatietoegang).
Voor securityteams betekent dit dat je niet alleen naar device indicators kijkt, maar ook naar de context: hoe is de app geïnstalleerd, via welke advertentie of landingspagina, en welke rechten zijn later actief geworden?
Als je wilt verdiepen in hoe checks en verifiëring getest kunnen worden bij moderne dreigingen, sluit ook dit thema aan bij de aanpak rondom verifiërings- en frauderesilience drills. Dat is niet hetzelfde aanvalstype, maar het helpt om je processen en controles te toetsen tegen misleiding.
Wat is de distributieroute volgens de onderzoekers?
De campagne lijkt niet primair via een “klassieke” malafide applisting te lopen. ThreatFabric geeft aan dat er webpagina’s worden gebruikt die zich voordoen als Google Play Store landing pages voor shopping, short drama en voetbal-apps.
Onschuldige gebruikers worden volgens de analyse via advertenties doorgestuurd naar die sites. Met name Meta-gedreven socialmedia-ads zouden daarbij de aanloop vormen.
Daarom is het voor verdedigers zinvol om niet alleen app-reputatie te beoordelen, maar ook om te kijken naar de advertentie- en verwijzingsketen: waar begint de gebruiker precies en welke tussenstappen leiden tot installatie?
Gevolg voor verdediging: vertrouw lokale signalen niet blind
ThreatFabric vat de les scherp samen: zodra een app kan worden vervangen, moeten signalen die lokaal worden geproduceerd—zoals signature-informatie, accessibility-lijsten en integriteitsuitkomsten—worden beschouwd als potentieel beïnvloed door de aanvaller.
De boodschap is dat je deze data server-side controleert en dat je je verdedigingslogica niet uitsluitend baseert op wat de app “zegt” wanneer die app mogelijk al gemanipuleerd is.
Als je daarnaast benieuwd bent naar bredere trends in Android-fraude en device takeover, dan kan ook een vergelijking met andere campagnes helpen. Een voorbeeld daarvan is de aanpak die ThreatFabric eerder beschreef rond IT-fraude via geautomatiseerde accounts en misleidende toestellen. Het blijft een ander domein, maar het onderliggende patroon—misleiding op schaal—loopt door.
Conclusie
De Hirudo Android trojan laat zien hoe Android-bankingfraude verder evolueert. Waar veel aanvallen zich beperken tot overlays en diefstal, combineert Hirudo credential stealing en remote control met een techniek die bankapp-integriteit van binnenuit omzeilt door app-replacement en hooking.
Voor organisaties betekent dit: wees extra alert op nep-updates, installeer-/toestemmingsgedrag en uitzonderlijke rechten zoals accessibility. En vooral: behandel lokale integrity-signalen als niet volledig betrouwbaar wanneer de app mogelijk al is aangepast—verifieer daarom context en stuur waar nodig op server-side controles.
Bron: https://thehackernews.com/2026/10/hirudo-android-trojan-uses-patched.html
1 reactie