El troyano para Android «Hirudo» utiliza aplicaciones bancarias parcheadas para eludir sus controles de seguridad integrados

In­ves­ti­ga­do­res de ci­ber­se­gu­ri­dad han des­cu­bier­to un tro­yano ban­ca­rio para An­dro­id lla­ma­do Hi­ru­do, el cual re­pre­sen­ta una evo­lu­ción en el frau­de fi­nan­cie­ro al sus­ti­tuir apli­ca­cio­nes ban­ca­rias le­gí­ti­mas por ver­sio­nes mo­di­fi­ca­das con el fin de eva­dir con­tro­les de se­gu­ri­dad in­ter­nos. Según la em­pre­sa de se­gu­ri­dad móvil Th­reat­Fa­bric, las cre­den­cia­les ob­je­ti­vo de esta ame­na­za abar­can múl­ti­ples paí­ses y se han iden­ti­fi­ca­do re­em­pla­zos para ocho apli­ca­cio­nes ban­ca­rias es­pe­cí­fi­cas de In­do­ne­sia.

Para dis­tri­buir el tro­yano, la cam­pa­ña uti­li­za apli­ca­cio­nes de en­ga­ño en­fo­ca­das en com­pras, vi­deos para adul­tos y en­tre­te­ni­mien­to que fun­cio­nan de ma­ne­ra le­gí­ti­ma en la su­per­fi­cie. No obs­tan­te, en se­gun­do plano, estas apli­ca­cio­nes eje­cu­tan una ru­ti­na para ve­ri­fi­car si el có­di­go ma­li­cio­so ya está ac­ti­vo y, de no ser así, mues­tran una aler­ta falsa de ac­tua­li­za­ción que in­du­ce al usua­rio a ins­ta­lar el tro­yano, el cual re­quie­re per­mi­sos pro­pios y el uso de ser­vi­cios de ac­ce­si­bi­li­dad. Asi­mis­mo, se em­plea una téc­ni­ca para blo­quear el ac­ce­so a In­ter­net me­dian­te una co­ne­xión VPN falsa antes de ins­ta­lar la carga útil, con el pro­pó­si­to de dis­mi­nuir la efi­ca­cia de los aná­li­sis en línea y la repu­tación de los ar­chi­vos.

El as­pec­to más dis­tin­ti­vo de Hi­ru­do es su ca­pa­ci­dad para des­ins­ta­lar la apli­ca­ción ban­ca­ria ori­gi­nal y des­car­gar en pa­ra­le­lo una copia al­te­ra­da que in­clu­ye un motor de mo­di­fi­ca­cio­nes. Este motor per­mi­te bur­lar ve­ri­fi­ca­cio­nes de fir­mas, ac­ce­si­bi­li­dad, cap­tu­ra de pan­ta­lla y Play In­te­grity desde el in­te­rior de la apli­ca­ción, uti­li­zan­do cer­ti­fi­ca­dos re­es­cri­tos y res­pues­tas si­mu­la­das con­tro­la­das por los ata­can­tes. Ade­más, la ope­ra­ción cuen­ta con una in­fra­es­truc­tu­ra de res­pal­do capaz de ges­tio­nar cam­pa­ñas y ad­mi­nis­trar datos ro­ba­dos, mien­tras que su pro­pa­ga­ción se efec­túa me­dian­te anun­cios en pla­ta­for­mas de redes so­cia­les que re­di­ri­gen a pá­gi­nas web fal­sas imi­tan­do tien­das de apli­ca­cio­nes.