Investigadores en ciberseguridad han revelado detalles sobre Hirudo, un nuevo troyano bancario para Android que representa una escalada significativa en el fraude financiero. Este malware opera reemplazando aplicaciones bancarias legítimas con versiones alteradas, diseñadas específicamente para evadir las verificaciones de seguridad integradas en las propias aplicaciones. La operación, que combina robo de credenciales, toma de control de dispositivos, captura de pantalla y cámara, y robo de SMS, ha sido identificada atacando aplicaciones bancarias en Indonesia, China, India, México, Marruecos y Tailandia.
Hirudo se distribuye a través de aplicaciones “dropper” (o lanzadores) que aparentan ser de compras, videos para adultos o entretenimiento. Estas apps cargan el troyano como un paquete de instalación separado, que luego se ofrece como una actualización dentro de la propia aplicación fraudulenta. Para evadir la detección, el malware implementa una técnica que bloquea el acceso a internet configurando una conexión VPN no funcional antes de la instalación de la carga maliciosa, buscando reducir la efectividad de los mecanismos de reputación en línea y análisis de código.
La característica más distintiva de Hirudo es su capacidad para reemplazar las aplicaciones bancarias objetivo con copias manipuladas. Detecta la aplicación bancaria genuina instalada, verifica su certificado de firma y luego muestra un aviso falso de “actualización”. Sin esperar la interacción del usuario, abre el desinstalador de Android para la aplicación original y descarga en paralelo la versión maliciosa específica del banco. Esta versión alterada integra un motor de “hooking” (o interceptación) para anular las verificaciones de firma, accesibilidad, captura de pantalla e integridad de Play Store desde dentro de la propia aplicación. Así, puede devolver certificados de firma falsos, listas de servicios de accesibilidad vacías o incluso deshabilitar la bandera FLAG_SECURE para permitir la grabación remota de las pantallas.
Para los defensores, la detección de Hirudo implica un nuevo desafío: una vez que una aplicación puede ser reemplazada, sus señales producidas localmente (firma, lista de accesibilidad y veredicto de integridad) deben considerarse como influenciadas por el atacante y verificarse siempre en el lado del servidor. Esto subraya la importancia de que las instituciones financieras implementen controles de integridad de aplicaciones robustos que operen de forma independiente a la ejecución local en el dispositivo. A nivel de usuario, es crucial descargar aplicaciones únicamente desde tiendas oficiales y estar extremadamente vigilante ante solicitudes de actualización inesperadas o permisos inusuales.
Qué significa para tu empresa: Este tipo de ataque sofisticado subraya la creciente necesidad de proteger los dispositivos móviles que acceden a recursos corporativos, incluso si son personales (BYOD). Un troyano bancario como Hirudo en un dispositivo empleado puede comprometer las credenciales financieras del usuario, lo que a su vez puede ser un punto de entrada para ataques de ingeniería social o extorsión dirigidos a la empresa. Nuestra capacidad de protección de endpoints EDR/XDR es fundamental para detectar y responder a amenazas avanzadas en dispositivos móviles y de escritorio, identificando comportamientos maliciosos que evaden las defensas tradicionales, asegurando que su personal y sus activos digitales estén protegidos contra estos ataques de nueva generación.
Fuente original: The Hacker News — ver artículo →