ThreatFabric研究人员发现了一种名为Hirudo的新型安卓恶意软件，它结合了传统银行木马的功能和完整的远程控制工具能力。目前，该恶意软件针对印度尼西亚的八款银行应用，同时其内部迹象表明，它可能被调整为攻击中国、印度、墨西哥、摩洛哥和泰国的银行。
Hirudo不仅会窃取设备上的登录数据，还允许攻击者通过WebRTC实时查看屏幕，借助无障碍服务控制手机，并访问前置和后置摄像头。它还会收集短信，包括对最长90天范围内短信的初步扫描，以及针对银行和钱包特定发件人的列表。
恶意软件如何进入手机？
Hirudo通过嵌入看似正版应用中的投放器进行传播，例如购物应用、成人视频观看应用或短剧应用，并通过社交媒体进行推广。应用安装后，投放器会检查设备上是否存在Hirudo；如果不存在，便安装恶意载荷。
当检测到特定的印度尼西亚银行应用时，恶意软件会显示虚假的更新提示，随后移除真实应用，并下载与目标银行关联的修改版。这样一来，用户看似仍在使用常规银行应用，但伪造版本实际上充当了窃取数据和进行控制的界面。
绕过应用内部安全检查
修改版包含一个用于拦截应用调用的引擎，旨在从应用内部禁用数字签名检查、无障碍服务检查、屏幕捕获检查以及Play Integrity检查。据研究人员称，该引擎可以用原始证书替换安卓所请求的签名证书，并隐藏测试签名；当查询无障碍服务时，它还会返回空列表，从而使攻击者的服务在检查中不可见。
这种方法的重要性在于，它将对抗从设备检查转移到了被替换应用自身的完整性机制上。因此，被替换应用产生的信号不能单独被视为可信信号，而且该引擎具备重复利用能力，可能使攻击者更容易将攻击扩展到其他应用和地区。
金融机构应检查什么？
- 验证Play Integrity并在服务器端强制执行其结果，但不要仅将正确结果视为充分证据，因为Hirudo可能会通过其服务器转发验证请求。
- 采用多层行为分析来识别欺诈模式，同时将缺失行为数据视为值得检查的信号。
- 将无障碍服务和屏幕捕获信号视为辅助证据，而不是单独的封禁条件，并将其纳入风险计算。
- 在登录、恢复凭据、创建收款人以及批准付款等环节继续保留交易风险控制，因为伪造的本地结果不能替代服务器端决策。
对机构而言，实际警示是：当恶意软件能够替换应用本身并隐藏控制组件时，仅依赖应用内部的一项检查已不再足够。目前，关于Hirudo运营者和感染规模的可用细节在源材料中均未提及，这限制了对该活动实际范围的评估。