Исследователи обнаружили новое вредоносное ПО для Android под названием Hirudo, нацеленное на пользователей банковских сервисов посредством подмены оригинальных банковских приложений модифицированными версиями на устройстве. Согласно отчёту компании по безопасности мобильных устройств ThreatFabric, ПО использует движок для внедрения кода с целью обхода проверок подписи приложений, сервисов специальных возможностей и Play Integrity.
Были выявлены вредоносные версии восьми банковских приложений, в том числе приложений как минимум семи индонезийских банков. Кампания также затронула финансовые учреждения в Китае, Индии, Мексике, Марокко и Таиланде, при этом число жертв пока неизвестно.
Как Hirudo проникает на устройства?
Обычно ПО распространяется через приложения, которые выглядят нормально и предлагают функции для покупок или развлекательного контента, например Shopora, 1V1 X, ZoyaTV и KoiShort. Эти приложения работают как загрузчики ПО, а затем показывают поддельное уведомление об обновлении, побуждая пользователя предоставить им дополнительные разрешения, включая разрешение Accessibility.
После активации разрешения вредоносное приложение начинает удалять настоящее банковское приложение, затем загружает его модифицированную версию и пытается установить её. ThreatFabric описывает этот процесс как рискованный для злоумышленника, поскольку пользователь может прервать его на двух этапах.
Превращение механизмов защиты в инструмент обхода
Модифицированная версия сохраняет большую часть исходного кода банковского приложения, но добавляет движок, созданный на основе открытых фреймворков YAHFA и Dobby. Движок работает внутри процесса самого банковского приложения, что позволяет ему манипулировать результатами проверок вместо атаки на приложение извне.
- Подмена оригинального сертификата подписи при запросе.
- Скрытие активированных сервисов Accessibility.
- Отключение защиты от снимков экрана, что позволяет удалённо просматривать и записывать экран.
- Изменение сертификатов аттестации, связанных с ключами, и передача запросов Play Integrity через сервер, контролируемый операторами.
Что могут украсть злоумышленники?
Hirudo способна красть пароли от банковских аккаунтов, секретные платёжные коды, секреты разблокировки устройства и SMS-сообщения, а также транслировать экран телефона и управлять обеими камерами. Кроме того, она использует поддельные платёжные страницы для сбора платёжных кодов, а затем показывает фиктивный результат успешной операции, чтобы скрыть кражу данных.
ThreatFabric обнаружила тысячи записей с учётными данными приложений в незащищённой панели управления, а также данные устройств, экраны блокировки и финансовые файлы. В отчёте не уточняется, относятся ли эти данные ко всем жертвам или только к части из них.
Каковы ограничения и что следует делать?
Методы обхода не работают без ограничений. Встроенный ключ аттестации мог быть раскрыт публично, а Google включила два его сертификата в список скомпрометированных, что позволяет серверам обнаруживать подделки при выполнении проверок отзыва сертификатов на стороне сервера.
ThreatFabric считает, что Hirudo представляет собой эскалацию методов банковского вредоносного ПО для кражи аккаунтов на Android, поскольку нацеливается на механизмы защиты внутри самих приложений. Компания рекомендует банкам выполнять проверки целостности и аттестацию на сервере, связывать проверки с сеансами и чувствительными операциями, а также сохранять контроль поведения и рисков транзакций.
Пользователям рекомендуется обновлять устройства, избегать APK-файлов из неофициальных магазинов и регулярно выполнять проверки с помощью Play Protect.