Hirudo Android malware replaces banking apps to evade security checks

Hirudo : Le malware Android qui détourne les applications bancaires

Le malware Hirudo cible les utilisateurs d’Android en remplaçant des applications bancaires légitimes par des versions modifiées. En utilisant des frameworks de “hooking” (YAHFA et Dobby), ces versions pirates neutralisent les contrôles de sécurité internes, permettant aux attaquants de prendre le contrôle total du terminal, de voler des identifiants et de surveiller l’activité en temps réel.

Points clés :

• Propagation : Le malware se diffuse via des applications tierces (shopping, divertissement) qui agissent comme des “loaders” en simulant de fausses mises à jour pour obtenir des privilèges d’accessibilité.
• Mode opératoire : Hirudo désinstalle l’application bancaire officielle et la remplace par une version patchée qui contourne la signature numérique, les services d’accessibilité et le système Play Integrity.
• Cibles géographiques : Principalement des banques indonésiennes, mais avec une portée étendue à la Chine, l’Inde, le Mexique, le Maroc et la Thaïlande.
• Capacités : Capture de codes PIN et mots de passe, enregistrement audio/vidéo, streaming d’écran et interception de SMS.

Vulnérabilités exploitées :

• Le malware abuse des services d’accessibilité d’Android pour automatiser l’installation et l’octroi de permissions.
• Il détourne les mécanismes d’attestation de clé et les vérifications de signature logicielle au sein même du processus de l’application.
• Note : Aucune CVE spécifique n’est mentionnée, le malware exploitant la logique de fonctionnement des applications plutôt qu’une faille système isolée.

Recommandations :

• Pour les utilisateurs : Installer uniquement des applications provenant du Google Play Store officiel, maintenir le système Android à jour et lancer régulièrement des analyses avec Google Play Protect.
• Pour les institutions financières : Déporter les vérifications d’intégrité et l’attestation côté serveur, lier les contrôles de sécurité aux sessions utilisateur et renforcer les outils de détection des risques comportementaux lors des transactions.

Source