I ricercatori di ThreatFabric hanno identificato una nuova minaccia Android denominata Hirudo, un malware che combina le funzionalità di un trojan bancario con quelle di un sistema di accesso remoto (RAT). La particolarità di questa campagna è che non si limita a mostrare schermate false sopra le applicazioni bancarie, ma sostituisce direttamente le app originali con versioni modificate progettate per disattivare i controlli di sicurezza.
In breve
- Hirudo sostituisce le applicazioni bancarie legittime con versioni alterate.
- Attualmente sono state osservate copie modificate di otto app bancarie indonesiane.
- Il malware combina furto di credenziali, controllo remoto del dispositivo e intercettazione di SMS.
- Nel codice sono presenti riferimenti a potenziali obiettivi anche in Cina, India, Messico, Marocco e Thailandia.
Come funziona l'attacco
La catena di infezione inizia con applicazioni apparentemente legittime che offrono contenuti reali agli utenti.
Tra quelle individuate dai ricercatori figurano:
- Shopora;
- 1V1 X;
- ZoyaTV;
- KoiShort.
Queste applicazioni fungono da "loader" e, attraverso un falso aggiornamento interno, installano il payload principale di Hirudo. Durante il processo l'utente viene indotto a concedere autorizzazioni elevate, inclusi i servizi di Accessibilità di Android.
La tecnica che rende Hirudo diverso
La maggior parte dei malware bancari Android utilizza tecniche di overlay, ovvero schermate false che si sovrappongono alle applicazioni autentiche.
Hirudo segue un approccio differente.
Dopo aver individuato una banca bersaglio installata sul telefono:
- avvia la disinstallazione dell'app bancaria originale;
- scarica una copia modificata;
- installa la versione alterata mantenendo nome e aspetto dell'app legittima.
La copia malevola incorpora un motore di hooking basato sui framework open source YAHFA e Dobby, che permette di alterare il comportamento dell'app direttamente dall'interno.
Quali protezioni riesce ad aggirare
Secondo l'analisi di ThreatFabric, le applicazioni modificate possono:
- falsificare i controlli della firma digitale;
- nascondere l'utilizzo dei servizi di Accessibilità;
- aggirare parte dei controlli di Google Play Integrity;
- disattivare alcune protezioni contro screenshot e registrazioni.
Questo consente agli operatori della campagna di operare all'interno dell'app bancaria compromessa senza attivare numerosi meccanismi di difesa normalmente utilizzati dalle banche.
Cosa può fare Hirudo
Una volta attivo sul dispositivo, il malware può:
- rubare credenziali bancarie;
- acquisire PIN di pagamento;
- intercettare SMS;
- controllare da remoto lo smartphone;
- visualizzare lo schermo della vittima;
- accedere alle fotocamere;
- registrare audio ambientale.
I ricercatori hanno inoltre individuato nei sistemi utilizzati dagli operatori della campagna migliaia di record contenenti informazioni sui dispositivi e dati associati alle vittime, segno di un'infrastruttura già ampiamente operativa.
Perché questa minaccia è importante
Hirudo rappresenta un'evoluzione significativa nel panorama dei malware bancari mobili.
Anziché attaccare esclusivamente il dispositivo o l'utente, prende di mira direttamente i meccanismi di fiducia implementati nelle applicazioni bancarie, cercando di disattivarli dall'interno.
Questo approccio potrebbe essere adattato a nuove applicazioni, nuovi mercati e nuove regioni geografiche.
Cosa significa per la vostra azienda
Le organizzazioni che utilizzano dispositivi Android per operazioni finanziarie o per accedere a servizi aziendali dovrebbero:
- consentire l'installazione di app solo da fonti affidabili;
- limitare l'uso dei servizi di Accessibilità quando non necessari;
- monitorare installazioni e disinstallazioni anomale di applicazioni;
- verificare regolarmente le autorizzazioni concesse alle app;
- adottare soluzioni di Mobile Threat Defense e Mobile Device Management.
Le banche, inoltre, dovrebbero affiancare ai controlli presenti sull'app verifiche lato server e sistemi di analisi comportamentale delle transazioni.
Chiusura
Hirudo dimostra come il malware mobile stia diventando sempre più sofisticato. L'obiettivo non è più soltanto rubare credenziali, ma compromettere direttamente il funzionamento delle applicazioni bancarie utilizzate dalle vittime. Per aziende, istituti finanziari e utenti sarà sempre più importante affiancare alle difese tradizionali strumenti capaci di identificare comportamenti anomali e tentativi di manipolazione delle applicazioni stesse. NO-RAD supporta le organizzazioni nella protezione degli ambienti mobile e nella gestione dei rischi legati alle minacce finanziarie digitali.
Fonti
- Hirudo: From Fake Updates to Patched Banking Apps
- Hirudo Android Trojan Uses Patched Banking Apps to Bypass Their Built-In Security Checks
- Hirudo Android malware replaces banking apps to evade security checks