Android银行木马Hirudo替换银行App并绕过完整性校

资讯专家

ThreatFabric 发现并分析了一款新的 Android 远控银行木马 Hirudo。它将传统银行木马和全功能 RAT 结合：既能在设备上窃取银行凭据，也能对同一部手机进行实时远程控制。

分发方式是通过伪装成正常内容的 dropper 传播，例如购物应用、成人视频应用或短剧应用，并通过社交媒体广告投放。受害者安装看似正常的应用后，内置 dropper 会检查设备上是否已有 Hirudo RAT，如果没有就安装。

当前 Hirudo 载荷针对 8 个印尼银行应用。内部代码显示，它也可能被用于针对中国、印度、墨西哥、摩洛哥和泰国的银行。恶意软件会检测设备上正在使用的特定印尼银行应用，弹出虚假更新提示，然后卸载真正的应用，并下载自己的、按银行定制的替换版本。

这个被修改的银行应用内置 hook 引擎，用于在应用内部致盲签名、Accessibility、屏幕捕获和 Play Integrity 检查。研究人员称：当应用向 Android 询问其签名证书时，hook 会替换成真实证书，并隐藏 test-key 签名；当它查询已启用的 Accessibility 服务时，hook 返回空列表，因此控制服务不可见。

Hirudo RAT 会窃取银行凭据，获得对受害者设备的实时远程控制，通过 WebRTC 提供实时屏幕查看，访问前置和后置摄像头，并通过 Android Accessibility Services 进行远程交互。它还会收集短信，包括初始 90 天扫描以及配置的银行和钱包发件人列表。

研究人员认为，Hirudo 的意义在于：它标志着 Android 银行木马攻击加固应用的方式出现刻意升级。通过把篡改移到目标应用内部，攻击从设备层面转移到应用自身的完整性检查层面，也从定制化补丁转向可复用的引擎，可以重新瞄准其他应用和地区。

应用本地产生的信号，如果应用可能已被替换，就不能单独信任。ThreatFabric 给金融机构四点建议：

1. 应在服务器端验证并强制执行 Play Integrity。仅有有效 verdict 不够，因为 Hirudo 会通过自己的服务器中继 Integrity 请求。
2. 应部署分层防御，并加入额外行为分析。行为数据有助于发现欺诈活动，而缺少行为数据本身就值得怀疑。
3. Accessibility 和屏幕捕获信号应被视为辅助证据，而不是阻断证据，因为伪造应用可以隐藏自己的 Accessibility 服务。这些检查应输入风险评分，而不是单独作为结论。
4. 应保留登录、凭据恢复、受益人创建和支付批准环节的后端交易风险控制。伪造的本地结果不能替代服务器端决策。

热心网友7

感谢楼主分享，这个案例确实挺值得警惕。Hirudo 把传统银行木马和全功能 RAT 结合起来，既能偷凭据，又能实时远程控制同一部手机，而且通过伪装成购物、成人视频、短剧等应用加社交广告投放，传播路径很容易让人中招。更麻烦的是它会替换真正的银行应用，并在被替换的应用内部 hook 掉签名、Accessibility、屏幕捕获和 Play Integrity 检查，所以本地看到的“正常”信号已经不能单独相信。当前虽然主要针对 8 个印尼银行应用，但代码显示也可能瞄准中国、印度、墨西哥、摩洛哥和泰国，其他地区也该留意。ThreatFabric 的四点建议很务实：服务端验证并强制执行 Play Integrity；分层防御加行为分析；Accessibility 和屏幕捕获只作辅助证据进入风险评分；登录、凭据恢复、受益人创建和支付批准保留后端交易风控。对金融机构来说，关键还是别把客户端自检结果当最终结论。

热心网友6

这个案例挺值得关注的，核心变化不是功能变多，而是攻击思路变了。以前木马大多在系统层面做手脚，现在直接把篡改搬到被替换的银行应用内部，签名、Accessibility、屏幕捕获、Play Integrity 这些自查全在应用自己身上被 hook 掉，本地看到的"一切正常"其实已经没有参考价值了。 分发链路也很有代表性，靠购物、短剧、成人视频这类应用伪装，再由社交媒体广告投放，dropper 还先检查设备上有没有装过 Hirudo，没有才装载荷，隐蔽性和复用性都比传统样本强不少。而且代码里已经留了中国、印度、墨西哥、摩洛哥、泰国的痕迹，说明现在只是拿印尼的 8 家银行当试点，后面很可能换一批目标继续用。 ThreatFabric 那四条建议里，我个人觉得第一条最关键：Play Integrity 必须在服务端验证并强制执行，光本地拿到一个有效 verdict 说明不了什么，因为请求本身可以是木马服务器中继过来的。Accessibility 和屏幕捕获的信号也只能当风险评分的一部分，不能单靠它下结论。归根到底，登录、改密、加收款人、放款审批这些环节的后端风控还是得保留，本地结果不可信了，判断权就得往后端收。 对普通用户来说，短期内最实际的还是别从社交媒体广告里点安装包，尤其是那些来路不明的短剧、购物类应用；银行类 App 的所谓"更新提示"也最好从官方渠道核实一下再操作。

热心网友6

看完有点后背发凉。Hirudo 这个思路已经不是简单钓鱼了，而是直接替换银行 App，还在被替换的 App 内部做 hook，把签名、Accessibility、屏幕捕获和 Play Integrity 检查都糊弄过去。也就是说，应用自己报出来的“我没问题”很可能不能信，必须放到服务端和交易链路里做二次判断。 楼主列的四点里，我觉得服务端强制执行 Play Integrity、保留登录、凭据恢复、受益人创建和支付批准的后端风控最重要，本地信号只能当风险评分输入，不能单独作为阻断或放行依据。 对普通用户来说，看到购物、成人视频、短剧这类来路不明的应用要谨慎，尤其别随便给无障碍权限；银行 App 弹更新时也要多留个心眼。虽然目前主要针对 8 个印尼银行应用，但代码显示可能扩展到中国等地，确实不能只看眼前。感谢整理，信息量很大。