- Hirudo用修改后的副本替换正版银行应用，从应用内部禁用安全检查。
- 7家银行的8款印度尼西亚银行应用已有专门制作的替换版本，其中包含钩子引擎。
- ThreatFabric在2026年8月捕获的记录中发现了数千条凭据和设备记录、锁屏历史以及财务档案。
ThreatFabric发现了Hirudo，这是一种安卓银行远程访问木马，将设备上的凭据窃取与实时远程控制同一部手机结合起来。
Hirudo试图用修改后的副本替换正版银行应用，从应用内部禁用安全检查。ThreatFabric确认了7家银行的8款印度尼西亚银行应用的专门替换版本，其中的引擎旨在屏蔽签名、无障碍、屏幕截图和Play Integrity检查。
该恶意软件通过购物、成人视频或短剧诱饵应用中的虚假应用内更新，以单独APK形式投递。其凭据目标覆盖印度尼西亚、中国、印度、墨西哥、摩洛哥和泰国，同时其代码保留着42款金融应用的注册表。
Hirudo移除正版应用并安装针对银行的替换版本
ThreatFabric表示，Hirudo会打开安卓针对正版银行应用的卸载程序，而不会等待用户点击，同时并行下载针对该银行的替换版本。替换版本保留原始包名和版本号，但使用公开测试密钥，而不是银行的证书。
SecurityWeek报道，远程控制功能包括通过WebRTC实时查看屏幕、远程访问摄像头，以及通过安卓无障碍服务进行远程交互。
Hirudo用逼真的品牌应用诱导用户
ThreatFabric表示，下载器通过WebView加载真实内容，使诱饵看起来真实，然后将Hirudo作为第二个应用藏在虚假更新之后。这些诱饵由Amazon CloudFront提供，并通过OpenInstall归因和Meta Pixel ID与活动关联。
运营者的APK处理面板无需身份验证即可访问，该面板可将下载器重新构建，并将银行应用打补丁后制作成完整诱饵。ThreatFabric表示，该面板暴露了云存储桶和凭据。
Hirudo记录包含凭据和财务档案
ThreatFabric表示，2026年8月捕获的记录包括数千条应用凭据条目，分为短剧和购物活动组，同时还有设备记录、锁屏历史以及包含月收入和风险评分字段的财务档案。
ThreatFabric表示，运营者对他们认为已被钓鱼的记录进行了标注。
事件经过
ThreatFabric建议金融机构在服务器端验证并强制执行Play Integrity，将其绑定到会话和受保护操作，并检查证明撤销情况。该公司表示，Hirudo公开泄露的证明密钥盒至少包含2张已被Google撤销列表标记为遭入侵的证书。
ThreatFabric表示，部分恶意下载路径在2026年10月仍然有效。直到9月底及进入10月的检查发现，一条赌场主题路径仍在提供8月恢复的同一下载器。
该公司表示，金融机构应继续针对登录、凭据恢复、收款人创建和付款批准保留服务器端交易风险控制，因为伪造的本地结果无法替代服务器端决策。
防守方现在要做什么
- 在服务器端验证并强制执行Play Integrity，将其绑定到会话和受保护操作，并检查证明撤销情况。
- 通过增加行为分析，实施分层防御。
- 将无障碍和屏幕截图信号视为辅助证据，而不是拦截条件。
常见问题
什么是Hirudo安卓恶意软件？
Hirudo是一种安卓银行远程访问木马，将设备上的凭据窃取与实时远程控制同一部手机结合起来。
Hirudo如何攻击银行应用？
它试图用修改后的副本替换正版银行应用，从应用内部禁用银行的安全检查。7家银行的8款印度尼西亚银行应用已有专门制作的替换版本。
Hirudo针对哪些国家？
Hirudo代码中列出的凭据目标覆盖印度尼西亚、中国、印度、墨西哥、摩洛哥和泰国。
Hirudo可以控制安卓手机上的什么？
SecurityWeek报道，Hirudo可以通过WebRTC实时查看屏幕、远程访问摄像头，并通过安卓无障碍服务进行远程交互。
Hirudo的下载路径仍然有效吗？
ThreatFabric报告称，部分恶意下载路径在2026年10月仍然有效，包括一条提供8月恢复的同一下载器的赌场主题路径。
来源
- Hirudo: From Fake Updates to Patched Banking Apps, ThreatFabric原始文件
- Hirudo Android Trojan Uses Patched Banking Apps to Bypass Their Built-In Security Checks, The Hacker News
- Novel Android RAT ‘Hirudo’ Replaces Banking Apps With Trojanized Copies, SecurityWeek
- Study Finds Hirudo, Highly Dangerous Trojan that Replaces Banking Apps with Fake Ones, Nigerian CommunicationWeek
- [Security] New Android Banking Trojan 'Hirudo' Emerges: A Sophisticated Technique to Bypass Security Verification by 'Patching' Legitimate Banking Apps, note
我们如何核实这篇报道
| 内容 | 来源 | 状态 |
|---|---|---|
| ThreatFabric确认Hirudo是一种新的安卓银行远程访问木马，将设备上的凭据窃取与实时远程控制结合起来。 | ThreatFabric | 已证实 |
| Hirudo试图用修改后的副本替换正版银行应用，从应用内部禁用银行的安全检查。 | ThreatFabric | 已证实 |
| 7家银行的8款印度尼西亚银行应用已有专门制作的替换版本，其中嵌入了用于屏蔽多项安全检查的钩子引擎。 | ThreatFabric | 已证实 |
| Hirudo以单独APK形式投递，由购物、成人视频或短剧诱饵应用携带，并隐藏在虚假应用内更新之后。 | ThreatFabric | 已证实 |
| Hirudo的凭据目标覆盖印度尼西亚、中国、印度、墨西哥、摩洛哥和泰国。 | ThreatFabric | 已证实 |
| Hirudo保留着42款金融应用的注册表，但只有7家银行的8款印度尼西亚应用拥有专用替换下载内容。 | ThreatFabric | 已证实 |
| ThreatFabric表示，Hirudo会打开安卓针对正版银行应用的卸载程序，并并行下载针对该银行的替换版本。 | ThreatFabric, via The Hacker News | 引述 |
| ThreatFabric表示，Hirudo公开泄露的证明密钥盒至少包含2张位于Google撤销列表中的证书。 | ThreatFabric | 已证实 |
| ThreatFabric表示，2026年8月的记录包括数千条凭据和设备记录、锁屏历史以及财务档案。 | ThreatFabric | 已证实 |
| ThreatFabric报告，部分恶意下载路径在2026年10月仍然有效。 | ThreatFabric | 已证实 |
| SecurityWeek报道，Hirudo提供实时查看屏幕、远程访问摄像头以及通过安卓无障碍服务进行远程交互。 | SecurityWeek | 引述 |
| ThreatFabric建议保留针对登录、凭据恢复、收款人创建和付款批准的后端交易风险控制。 | ThreatFabric | 已证实 |
| 根据一份二手报道，ThreatFabric于2026年10月14日发布了Hirudo调查结果。 | ThreatFabric, via note | 引述 |
| ThreatFabric表示，Hirudo试图用修改后的副本替换银行应用，从应用内部禁用安全检查。 | ThreatFabric, via Nigerian CommunicationWeek | 引述 |
| ThreatFabric表示，7家银行的8款印度尼西亚银行应用已经拥有专门设计的替换版本。 | ThreatFabric, via Nigerian CommunicationWeek | 引述 |
| ThreatFabric表示，Hirudo作为第二个应用交付，隐藏在逼真的购物、短剧或成人视频下载器中。 | ThreatFabric, via Nigerian CommunicationWeek | 引述 |
| ThreatFabric表示，下载器通过WebView加载真实内容，使其看起来真实。 | ThreatFabric, via Nigerian CommunicationWeek | 引述 |
| ThreatFabric表示，替换版本保留原始包名和版本号，但使用公开测试密钥签名。 | ThreatFabric, via Nigerian CommunicationWeek | 引述 |
| ThreatFabric表示，Hirudo的修改版银行应用使用YAHFA和Dobby修改Java方法并钩取原生函数。 | ThreatFabric, via Nigerian CommunicationWeek | 引述 |
| ThreatFabric表示，恶意诱饵由Amazon CloudFront提供，并通过OpenInstall和Meta Pixel ID与活动关联。 | ThreatFabric, via Nigerian CommunicationWeek | 引述 |
| ThreatFabric表示，运营者的APK处理面板无需身份验证即可访问，并暴露了云存储桶和凭据。 | ThreatFabric, via Nigerian CommunicationWeek | 引述 |
| ThreatFabric表示，2026年8月的记录包括数千条分布在不同活动组中的凭据条目。 | ThreatFabric, via Nigerian CommunicationWeek | 引述 |
| ThreatFabric表示，运营者会标注他们认为已被钓取的记录。 | ThreatFabric, via Nigerian CommunicationWeek | 引述 |
未能核实
- 尚未确定Hirudo是否已成功攻击受害者或金融机构
- 尚未确定该行动是否造成了已确认的经济损失
- 尚未确定8款目标印度尼西亚银行应用是否对应8名受影响的受害者
- 尚未确定Hirudo是否获得CVE分配
