De Hirudo Android RAT is een nieuwe vorm van Android-banking malware die niet alleen probeert in te loggegevens te stelen, maar vooral inzet op het omzeilen van beveiligingschecks van binnenuit. In plaats van alleen een app te infecteren, vervangt de malware doelgerichte bankapps door aangepaste kopieën met daarin ingebouwde, herbruikbare misleidingstechnieken.
Onderzoekers van ThreatFabric beschrijven hoe het kwaadaardige proces begint met een ogenschijnlijk legitieme installatie en eindigt met credential theft, realtime scherm- en cameraweergave en remote interactie via Android. Voor financiële instellingen is dit een belangrijk signaal: lokale signalen zijn minder betrouwbaar wanneer aanvallers tampering binnen de app zelf mogelijk maken.
Wat is de Hirudo Android RAT precies?
De Hirudo Android RAT (Remote Access Trojan) combineert elementen van klassieke banking trojans met functies die je eerder bij volledige RAT’s ziet. Daarmee is de dreiging niet beperkt tot diefstal van inloggegevens: de malware biedt ook directe controle over het toestel van het slachtoffer.
Concreet bevat de payload functies voor op het toestel gebaseerde credential theft én live remote control. Via WebRTC kan er live meekijken worden, terwijl remote camera-toegang en interactie via Android Accessibility Services onderdeel zijn van het “beheer” van de besmette telefoon.
Hoe komt Hirudo op het toestel: dropper in ‘echte’ content
De verspreiding verloopt via een dropper die verpakt zit in downloadbare content die op het eerste gezicht betrouwbaar lijkt. Die content kan bestaan uit een shopping-app, een volwassen-video-app of een kort drama-achtig programma dat via social media wordt aangeprezen.
Na installatie controleert de dropper of de Hirudo payload al aanwezig is. Zo niet, dan installeert de dropper de RAT alsnog. Dat maakt de aanval minder kwetsbaar voor “half mislukte” infecties en vergroot de kans dat de malware daadwerkelijk zijn doelen bereikt.
Bankapps worden vervangen: de kern van de aanval
Het opvallende aan de Hirudo Android RAT is de aanpak rond doelapplicaties. De payload richt zich in de huidige fase op acht Indonesische bankapps. Interne code van de onderzoekers suggereert dat dezelfde werkwijze later kan worden doorontwikkeld richting banken in andere landen, zoals China, India, Mexico, Marokko en Thailand.
Wanneer de malware op een toestel draait, detecteert deze welke specifieke Indonesische bankapp op dat apparaat aanwezig is. Daarna volgt een misleidende updateflow: Hirudo toont een fake update prompt, verwijdert de echte bankapp en downloadt vervolgens een bank-specifieke, aangepaste vervanger.
Die vervangende app is niet slechts een statische trojan. Binnen de app zit een hooking-engine die bedoeld is om verschillende soorten beveiligings- en integriteitscontroles te beïnvloeden.
Hoe Hirudo beveiligingschecks manipuleert
Volgens de analyse maakt Hirudo het mogelijk om binnen de app zelf signalen en toetsresultaten te foppen. De onderzoekers noemen onder meer hooks die kunnen leiden tot het blinderen van checks rondom:
- signing certificate- of certificaatverificaties
- Accessibility- en bijbehorende detecties
- screen-capture signalen
- Play Integrity checks
De onderzoekers beschrijven als voorbeeld dat wanneer de app Android om het signing certificate vraagt, de hook een “echter ogend” certificaat kan substitueren en daarbij een test-key signature kan verbergen. Bij vragen naar ingeschakelde Accessibility services kan de hook vervolgens een lege lijst teruggeven, waardoor de controlling component minder zichtbaar is.
Belangrijk hierbij is het uitgangspunt van de aanval: signalen die lokaal door de app worden geproduceerd, zijn niet automatisch betrouwbaar wanneer de app zelf is vervangen en actief kan meedenken met de detectie.
Wat doet de malware daarna: diefstal en realtime controle
Zodra de aangepaste bankapp draait, verschuift de focus naar uitvoering. De Hirudo Android RAT kan bankcredentials stelen en het toestel op afstand besturen.
Naast live screen viewing (met zicht op zowel voor- als achtercamera) kan de malware ook remote interactie via Android Accessibility Services uitvoeren. Daarnaast is er sprake van SMS-verzameling: met een “initial scan” over een periode van 90 dagen en met een configuratie voor relevante afzenders van banken en wallet-diensten.
Dat betekent dat slachtoffers niet alleen direct tijdens het inloggen worden getroffen, maar ook later mogelijk nog data verliezen die in berichten is terug te vinden.
Waarom dit anders is dan ‘standaard’ banking malware
De onderzoekers benadrukken de betekenis van deze aanpak: Hirudo lijkt een bewuste escalatie in de manier waarop Android-banking operaties gehard beveiligde apps proberen te omzeilen. Door de tampering binnen de doelapp te verplaatsen, komt de strijd minder op het toestel te spelen en meer op de integriteitschecks die de app zelf uitvoert.
In plaats van een maatwerkpatch per slachtoffer of regio, introduceren aanvallers een reusable engine die opnieuw kan worden ingezet voor andere apps en locaties. Dat maakt de dreiging schaalbaar.
Advies voor financiële instellingen: security buiten de app
ThreatFabric geeft vier praktische aanbevelingen. De rode draad: vertrouw niet op één lokale uitkomst, en voorkom dat een aanval server side-detectie kan foppen met “valse lokale antwoorden”.
1) Verifieer Play Integrity server-side
Controleer en handhaaf Play Integrity server-side. Een belangrijk detail: Hirudo kan Integrity requests doorsturen via zijn eigen infrastructuur, waardoor een “geldige verdict” alleen niet genoeg is als er geen onafhankelijke backendbeslissing volgt.
2) Voeg layered defenses en gedragssignalen toe
Werk met extra behavioral analytics. Volgens de onderzoekers kan gedragsdata helpen om frauduleuze patronen te herkennen, terwijl het ontbreken van voldoende gedragsdata op zichzelf al verdacht kan zijn.
3) Behandel Accessibility en screen-capture als aanwijzing, niet als blokkade
Accessibility- en screen-capture signalen zouden eerder ondersteunend bewijs moeten zijn dan harde beslissers. Een vervangende app kan namelijk zijn eigen Accessibility-service verbergen, waardoor blokkeren op basis van één signaal riskant is.
4) Houd backend-transaction controls overeind
Blijf backend-transaction risk controls toepassen bij onder meer inloggen, credential recovery, begunstigden toevoegen en betaalgoedkeuring. Ook hier geldt: een vervalst lokaal resultaat mag nooit automatisch de serverbeslissing vervangen.
Praktische vertaalslag: wat kun je vandaag aanscherpen?
Als je organisatie banktransacties ondersteunt, kun je deze case gebruiken als toetssteen voor je eigen controles. Stel jezelf bijvoorbeeld de vraag: waar neemt het beslissingsproces een definitieve rol? Als de app in de keten kan worden vervangen, is het extra belangrijk dat risicobeoordeling niet alleen leunt op lokale checks.
Daarnaast kan het helpen om je detecties te koppelen aan meerdere signalen. Wanneer aanvallers verschillende routes kunnen foppen (integrity, accessibility, screen capture), wordt het waardevol om de uitkomst te laten afhangen van combinaties en van backendlogica.
Wil je meer lezen over het belang van hardening en misbruikscenario’s rondom mobiele/endpoint-bedreigingen? Bekijk dan ook de achtergrond bij deze Hirudo-aanpak, of vergelijkbare trends in aanvalslogica bij andere RAT-achtige ontwikkelingen.
Conclusie
De Hirudo Android RAT laat zien hoe Android-banking malware beveiligingsmaatregelen kan aanvallen op het niveau van app-integriteit. Door doelgerichte bankapps te vervangen door trojanized kopieën, kan de malware lokale checks manipuleren en tegelijk realtime controle uitoefenen—van schermweergave en camera tot SMS-verzameling.
Voor financiële instellingen betekent dit vooral één ding: vertrouw op server-side verificatie, bouw layered defenses met gedragssignalen en veranker backend transaction-risk controls. Alleen zo kun je voorkomen dat een ‘goede’ lokale uitkomst ook echt als veilig wordt behandeld.
Gerelateerd lezen: als je de bredere context rond banking malware en RAT-functies wilt begrijpen, kan dit ook passen bij analyses over andere moderne Android/dreigingstrajecten, zoals risico’s van geautomatiseerde en zelfreplicerende malware—waarbij schaal en herbruikbaarheid steeds vaker de toon zetten.
