Novo malware Hirudo infeta Android ao substituir apps bancárias legítimas

O novo malware Hirudo ataca utilizadores Android substituindo apps bancárias por versões modificadas. Descobre como funciona e como te podes proteger.

Como o Hirudo contorna a segurança do Android

Investigadores da ThreatFabric identificaram uma nova ameaça móvel denominada Hirudo, um malware para Android que utiliza técnicas avançadas para comprometer a segurança bancária dos utilizadores. Ao contrário de ameaças comuns, o Hirudo não se limita a sobrepor janelas falsas; ele substitui ativamente a aplicação bancária original por uma versão modificada.

O processo de infeção começa através de aplicações aparentemente inofensivas, como ferramentas de compras (Shopora), conteúdos para adultos (1V1 X) ou plataformas de vídeos curtos (ZoyaTV, KoiShort). Estas apps funcionam como loaders que, após instaladas, solicitam permissões de Acessibilidade. Com estas permissões, o malware consegue desinstalar a app bancária real e instalar uma cópia infetada, utilizando um motor de hooking baseado nos frameworks YAHFA e Dobby.

Impacto e capacidades do malware

Uma vez instalado, o Hirudo consegue realizar ações críticas sem que o utilizador se aperceba, incluindo:

• Roubo de credenciais bancárias e PINs de pagamento.
• Captura de ecrã e gravação de áudio em tempo real.
• Interceção de mensagens SMS.
• Controlo remoto do dispositivo.

Embora o foco inicial observado pela ThreatFabric esteja em instituições financeiras na Indonésia, o malware tem capacidade para visar organizações em diversos países, incluindo Índia, China, México, Marrocos e Tailândia. A sofisticação do Hirudo marca uma mudança na forma como o malware bancário aborda aplicações protegidas, focando-se em contornar os mecanismos de integridade internos das próprias apps.

Como te podes proteger

Para mitigar riscos, é fundamental adotar práticas rigorosas de segurança:

• Evita o sideloading: Não instales ficheiros APK provenientes de lojas não oficiais ou sites de terceiros.
• Mantém o sistema atualizado: As atualizações de segurança do Android corrigem vulnerabilidades que podem ser exploradas por este tipo de ameaças.
• Play Protect: Executa regularmente verificações com o Google Play Protect.
• Atenção às permissões: Desconfia de aplicações que solicitam permissões de Acessibilidade sem uma justificação clara e legítima.

A ThreatFabric recomenda que as instituições financeiras reforcem a validação de integridade no lado do servidor e liguem as verificações de segurança a sessões e ações protegidas, em vez de dependerem apenas de verificações locais no dispositivo.

Fontes

• https://www.bleepingcomputer.com/news/security/hirudo-android-malware-replaces-banking-apps-to-evade-security-checks/