Банковский троян Hirudo меняет привычную механику мобильного фишинга: вместо поддельного окна поверх настоящего клиента вредонос пытается удалить банковское приложение и поставить модифицированную копию. ThreatFabric выяснила, что для восьми приложений семи банков уже подготовлены отдельные подмены, которые отключают защитные проверки изнутри.
Атака начинается с работающей приманки под видом магазина, сервиса коротких видео или контента для взрослых. Приложение действительно показывает заявленный контент, но затем предлагает фальшивое «обновление» и устанавливает второй APK с Hirudo. Для дальнейшей работы трояну нужны выданные пользователем разрешения, включая спецвозможности Android и доступ к уведомлениям.
Получив контроль, Hirudo находит установленный банковский клиент, сверяет подпись с сохранённым образцом и запускает штатное окно удаления. Параллельно вредонос скачивает подготовленную копию. Android не позволяет поставить её поверх оригинала из-за другой цифровой подписи, поэтому настоящий клиент приходится удалить, а установку замены должен разрешить пользователь. Цепочку можно прервать.
Подменённое приложение сохраняет исходное имя пакета и номер версии, но внутри появляется механизм перехвата функций на базе YAHFA и Dobby. Он подсовывает банковскому клиенту правильную подпись, скрывает активную службу Accessibility, снимает запрет на захват экрана и вмешивается в проверки Play Integrity. В четырёх изученных копиях запросы Play Integrity уходили на сервер операторов Hirudo.
Функции RAT не ограничиваются подменой банка. Hirudo показывает фальшивые формы входа и оплаты, крадёт пароли и PIN-коды, читает экран, перехватывает секрет блокировки устройства, получает SMS и поддерживает удалённый контроль через WebRTC. Первое сканирование сообщений охватывает до 90 дней, а операторы могут включать переднюю и заднюю камеры смартфона.
В конфигурации Hirudo перечислены 42 финансовых приложения, однако готовые подмены ThreatFabric нашла только для восьми банковских клиентов в Индонезии. В коде присутствуют цели из Китая, Индии, Мексики, Марокко и Таиланда, а фальшивая страница оплаты использует брендинг банков и кошельков Малайзии. Часть каналов загрузки вредоносных APK оставалась доступной в октябре 2026 года.
Полученные ThreatFabric данные серверной части за август содержали тысячи записей с учётными данными приложений, сведениями об устройствах, историей кодов блокировки и финансовыми профилями. Для банков компания рекомендует проверять Play Integrity на сервере, учитывать отзыв сертификатов аттестации и не считать локальные сигналы о подписи, Accessibility или запрете скриншотов достаточной защитой.