Trojan Android Hirudo dùng bản ứng dụng ngân hàng đã chỉnh sửa để vượt kiểm tra bảo mật
"Researchers disclosed Hirudo, an Android banking trojan that uses dropper apps and fake update prompts to install a second-stage payload for credential theft, SMS interception, screen capture, and remote device control. A notable technique is the use of patched banking app replacements that hook and bypass in-app security checks such as signature validation, accessibility detection, FLAG_SECURE, and Play Integrity, with the campaign targeting multiple countries and eight Indonesian banking apps. No CVE is mentioned; mitigation centers on detecting the malicious dropper/replacement apps, blocking the distribution channels, and relying on app integrity and Play Protect defenses."
Đây là mối đe dọa cao vì mã độc có thể đánh cắp thông tin xác thực, chụp màn hình và điều khiển thiết bị từ xa. Kỹ thuật dùng bản ứng dụng đã chỉnh sửa làm tăng khả năng vượt qua kiểm tra bảo mật ở lớp ứng dụng.
Tác động vận hành đáng kể do có thể dẫn tới gian lận tài chính, gián đoạn truy cập ứng dụng ngân hàng và phát sinh xử lý sự cố. Các tổ chức có người dùng di động cần tăng cường giám sát thiết bị và truyền thông cảnh báo.
Các nhà nghiên cứu an ninh vừa công bố Hirudo, một Android banking trojan mới nhắm vào người dùng ngân hàng và ví điện tử. Mã độc này được phát tán qua các dropper app giả mạo ứng dụng mua sắm, video và giải trí, sau đó hiển thị thông báo cập nhật giả để cài thêm payload giai đoạn hai.
Điểm đáng chú ý là chiến dịch sử dụng các bản thay thế ứng dụng ngân hàng đã bị chỉnh sửa để vô hiệu hóa các kiểm tra ngay trong ứng dụng, gồm xác thực chữ ký, phát hiện Accessibility, cờ FLAG_SECURE và Play Integrity. Theo báo cáo, có 8 ứng dụng ngân hàng Indonesia bị nhắm tới, trong khi phạm vi đánh cắp thông tin trải rộng ở Indonesia, Trung Quốc, Ấn Độ, Mexico, Morocco và Thái Lan.
Hirudo có thể đánh cắp thông tin đăng nhập, chặn SMS, chụp màn hình, truy cập camera và điều khiển thiết bị từ xa. Một số kỹ thuật còn nhằm làm giảm hiệu quả của Google Play Protect bằng cách chặn kết nối Internet trước khi cài payload.
Khuyến nghị: doanh nghiệp và người dùng nên chỉ cài ứng dụng từ nguồn chính thức, kiểm tra quyền Accessibility và quyền nhạy cảm, phát hiện dropper/replacement app bất thường, đồng thời tăng cường giám sát Play Protect và các chỉ báo cài đặt ứng dụng không hợp lệ.