El 14 de octubre de 2026, investigadores de ThreatFabric identificaron Hirudo, un troyano para Android que sustituye aplicaciones bancarias legítimas por versiones manipuladas. El malware emplea un motor de hooking basado en YAHFA y Dobby para eludir comprobaciones de firma, servicios de Accesibilidad y Play Integrity.
Las copias maliciosas conservan la mayor parte del código de las aplicaciones originales, pero modifican las respuestas relacionadas con certificados, ocultan los servicios de Accesibilidad activos, eliminan la protección frente a capturas y retransmiten las solicitudes de Play Integrity a un servidor controlado por los operadores.
Hirudo puede robar contraseñas bancarias, PIN de pago, secretos de desbloqueo y mensajes SMS. También permite transmitir la pantalla en tiempo real, grabar audio y acceder a las cámaras. Sus páginas de pago falsas recopilan los PIN y muestran después un resultado de operación exitosa para ocultar el robo de información.
ThreatFabric observó que el malware se distribuye mediante aplicaciones aparentemente legítimas de compras, contenido para adultos y series cortas, entre ellas Shopora, 1V1 X, ZoyaTV y KoiShort. Estas aplicaciones actúan como cargadores y muestran avisos falsos de actualización que conducen a solicitudes de permisos, incluido el acceso a los servicios de Accesibilidad.
El ataque desinstala la aplicación bancaria real, descarga una copia parcheada y utiliza el permiso de Accesibilidad para instalarla. ThreatFabric ha identificado al menos siete bancos de Indonesia entre los objetivos, además de organizaciones financieras de China, India, México, Marruecos y Tailandia. Los investigadores también localizaron miles de registros de credenciales en un panel backend sin protección, aunque el número de víctimas no se ha determinado.
ThreatFabric señaló que las claves de atestación incluidas en el malware se filtraron públicamente y que Google considera comprometidos dos de sus certificados, por lo que las comprobaciones de revocación en el servidor pueden detectar esas falsificaciones. La empresa recomienda a los bancos validar la integridad y la atestación en sus servidores, vincularlas a sesiones y acciones protegidas, y mantener controles de comportamiento y riesgo transaccional.
La información procede de BleepingComputer: https://www.bleepingcomputer.com/news/security/hirudo-android-malware-replaces-banking-apps-to-evade-security-checks/.
Fuente: BleepingComputer
Más noticias
Anuncios de Google y redirecciones de Bing distribuyen falsos instaladores de Claude
El FBI desmantela en Texas una red de portátiles vinculada a trabajadores informáticos norcoreanos
Ledger pide detener las ventas en Asia tras detectar implantes en carteras distribuidas por CryptoBilis
Un ciberataque interrumpe sistemas de TFG London en Phase Eight, Hobbs y Whistles
El incidente de Meta expone código y datos personales de 1.500 empleados
Un implante en dispositivos de Ledger se vincula al robo de al menos 86 millones de dólares en criptomonedas