- Hirudo以修改副本替換正版銀行程式，從程式內部停用安全檢查。
- 7間銀行的8款印尼銀行程式已有專門製作的替換版本，內置掛鈎引擎。
- ThreatFabric在2026年8月擷取的記錄中發現數以千計的憑證及裝置記錄、鎖定畫面歷史及財務檔案。
ThreatFabric發現Hirudo，一種安卓銀行遠程訪問木馬，結合裝置上的憑證竊取及對同一部手機的實時遠程控制。
Hirudo試圖以修改副本替換正版銀行程式，從程式內部停用安全檢查。ThreatFabric確認7間銀行的8款印尼銀行程式已有專門製作的替換版本，配備可蒙蔽簽名、輔助功能、屏幕截圖及Play Integrity檢查的引擎。
該惡意軟件透過購物、成人影片或短劇誘餌程式，以假冒的程式內更新形式，經獨立APK傳送。其憑證目標遍及印尼、中國、印度、墨西哥、摩洛哥及泰國，而其程式碼保存42款金融程式的登記表。
Hirudo移除正版程式並安裝銀行專用替換版本
ThreatFabric表示，Hirudo會開啟安卓的解除安裝程式，以移除正版銀行程式，毋須等待用戶點擊，同時下載銀行專用替換版本。替換版本保留原有套件名稱及版本號碼，但使用公開測試金鑰，而非銀行的證書。
SecurityWeek報道，遠程控制功能包括透過WebRTC實時觀看屏幕、遠程存取鏡頭，以及透過安卓輔助功能服務進行遠程互動。
Hirudo以具說服力的品牌程式誘騙用戶
ThreatFabric表示，下載器會透過WebView載入真實內容，使誘餌看似正版，然後以假更新為掩護，將Hirudo作為第二個程式攜帶。相關誘餌由Amazon CloudFront提供，並透過OpenInstall歸因及Meta Pixel識別碼連結至不同攻擊活動。
營運者的APK處理面板可重建下載器，並將已修補的銀行程式製成完成的誘餌，且毋須驗證便可存取。ThreatFabric表示，該面板暴露雲端儲存桶及憑證。
Hirudo記錄包括憑證及財務檔案
ThreatFabric表示，2026年8月擷取的記錄包括數以千計的程式憑證項目，分屬短劇及購物活動組別，另有裝置記錄、鎖定畫面歷史，以及包含月入及風險評分欄位的財務檔案。
ThreatFabric表示，營運者將他們認為已被釣取的記錄加以註記。
事件經過
ThreatFabric建議金融機構在伺服器端驗證及執行Play Integrity，將其與工作階段及受保護操作綁定，並檢查證明撤銷情況。該公司表示，Hirudo公開洩露的證明密鑰盒至少包括兩張列於Google撤銷名單、被列為已遭入侵的證書。
ThreatFabric表示，部分惡意下載途徑在2026年10月仍然運作。直至9月底及進入10月的檢查發現，一條以賭場為主題的途徑仍在提供8月恢復的同一下載器。
該公司表示，金融機構應在登入、憑證恢復、受款人建立及付款批准等環節，保留伺服器端交易風險控制；在這些環節，偽造的本地結果不能取代伺服器端決定。
防守方現在要做甚麼
- 在伺服器端驗證及執行Play Integrity，將其與工作階段及受保護操作綁定，並檢查證明撤銷情況。
- 加入行為分析，採用分層防禦。
- 將輔助功能及屏幕截圖訊號視為輔助證據，而非阻截條件。
常見問題
甚麼是Hirudo安卓惡意軟件？
Hirudo是一種安卓銀行遠程訪問木馬，結合裝置上的憑證竊取及對同一部手機的實時遠程控制。
Hirudo如何攻擊銀行程式？
它試圖以修改副本替換正版銀行程式，從程式內部停用銀行的安全檢查。7間銀行的8款印尼銀行程式已有專門製作的替換版本。
Hirudo針對哪些國家？
Hirudo程式碼所列的憑證目標遍及印尼、中國、印度、墨西哥、摩洛哥及泰國。
Hirudo可控制安卓手機的哪些功能？
SecurityWeek報道，Hirudo可實時觀看屏幕、遠程存取鏡頭，以及透過安卓輔助功能服務進行遠程互動。
Hirudo的下載途徑仍然運作嗎？
ThreatFabric報告，部分惡意下載途徑在2026年10月仍然運作，包括一條以賭場為主題、提供8月恢復的同一下載器的途徑。
來源
- Hirudo: From Fake Updates to Patched Banking Apps, ThreatFabric原始文件
- Hirudo Android Trojan Uses Patched Banking Apps to Bypass Their Built-In Security Checks, The Hacker News
- Novel Android RAT ‘Hirudo’ Replaces Banking Apps With Trojanized Copies, SecurityWeek
- Study Finds Hirudo, Highly Dangerous Trojan that Replaces Banking Apps with Fake Ones, Nigerian CommunicationWeek
- [Security] New Android Banking Trojan 'Hirudo' Emerges: A Sophisticated Technique to Bypass Security Verification by 'Patching' Legitimate Banking Apps, note
我們如何核實這篇報道
| 內容 | 來源 | 狀態 |
|---|---|---|
| ThreatFabric確認Hirudo是一種新型安卓銀行遠程訪問木馬，結合裝置上的憑證竊取及實時遠程控制。 | ThreatFabric | 已證實 |
| Hirudo試圖以修改副本替換正版銀行程式，從程式內部停用銀行的安全檢查。 | ThreatFabric | 已證實 |
| 7間銀行的8款印尼銀行程式已有專門製作的替換版本，內置掛鈎引擎以蒙蔽多項安全檢查。 | ThreatFabric | 已證實 |
| Hirudo以獨立APK形式傳送，由購物、成人影片或短劇誘餌程式攜帶，並以假冒程式內更新作掩護。 | ThreatFabric | 已證實 |
| Hirudo的憑證目標遍及印尼、中國、印度、墨西哥、摩洛哥及泰國。 | ThreatFabric | 已證實 |
| Hirudo保存42款金融程式的登記表，但只有7間銀行的8款印尼程式有專用替換下載版本。 | ThreatFabric | 已證實 |
| ThreatFabric表示，hirudo會開啟安卓的解除安裝程式以移除正版銀行程式，並同時下載銀行專用替換版本。 | ThreatFabric, via The Hacker News | 引述 |
| ThreatFabric表示，Hirudo公開洩露的證明密鑰盒至少包括兩張列於Google撤銷名單的證書。 | ThreatFabric | 已證實 |
| ThreatFabric表示，2026年8月記錄包括數以千計的憑證及裝置記錄、鎖定畫面歷史及財務檔案。 | ThreatFabric | 已證實 |
| ThreatFabric報告，部分惡意下載途徑在2026年10月仍然運作。 | ThreatFabric | 已證實 |
| SecurityWeek報道，Hirudo提供實時觀看屏幕、遠程存取鏡頭，以及透過安卓輔助功能服務進行遠程互動。 | SecurityWeek | 引述 |
| ThreatFabric建議保留登入、憑證恢復、受款人建立及付款批准的後端交易風險控制。 | ThreatFabric | 已證實 |
| 據一份二手報道，ThreatFabric於2026年10月14日發表Hirudo調查。 | ThreatFabric, via note | 引述 |
| ThreatFabric表示，Hirudo試圖以修改副本替換銀行程式，從程式內部停用安全檢查。 | ThreatFabric, via Nigerian CommunicationWeek | 引述 |
| ThreatFabric表示，7間銀行的8款印尼銀行程式已有專門設計的替換版本。 | ThreatFabric, via Nigerian CommunicationWeek | 引述 |
| ThreatFabric表示，hirudo作為第二個程式傳送，隱藏於具說服力的購物、短劇或成人影片下載器內。 | ThreatFabric, via Nigerian CommunicationWeek | 引述 |
| ThreatFabric表示，下載器透過WebView載入真實內容，使其看似正版。 | ThreatFabric, via Nigerian CommunicationWeek | 引述 |
| ThreatFabric表示，替換版本保留原有套件名稱及版本號碼，但以公開測試金鑰簽署。 | ThreatFabric, via Nigerian CommunicationWeek | 引述 |
| ThreatFabric表示，hirudo的修改銀行程式使用YAHFA及Dobby改動Java方法及掛鈎原生函數。 | ThreatFabric, via Nigerian CommunicationWeek | 引述 |
| ThreatFabric表示，惡意誘餌由Amazon CloudFront提供，並透過OpenInstall及Meta Pixel識別碼連結至不同活動。 | ThreatFabric, via Nigerian CommunicationWeek | 引述 |
| ThreatFabric表示，營運者的APK處理面板毋須驗證便可存取，並暴露雲端儲存桶及憑證。 | ThreatFabric, via Nigerian CommunicationWeek | 引述 |
| ThreatFabric表示，2026年8月記錄包括數以千計、分屬不同活動組別的憑證項目。 | ThreatFabric, via Nigerian CommunicationWeek | 引述 |
| ThreatFabric表示，營運者將其認為已被釣取的記錄加上註記。 | ThreatFabric, via Nigerian CommunicationWeek | 引述 |
未能核實
- Hirudo是否曾成功攻擊受害者或金融機構，尚未確立
- 該行動是否造成已確認的財務損失，尚未確立
- 8款目標印尼銀行程式是否對應8名受影響受害者，尚未確立
- Hirudo是否獲分配CVE，尚未確立
