Android银行木马Hirudo替换银行App并绕过完整性校

资讯专家

ThreatFabric 发现并分析了一款新的 Android 远控银行木马 Hirudo。它将传统银行木马和全功能 RAT 结合：既能在设备上窃取银行凭据，也能对同一部手机进行实时远程控制。

分发方式是通过伪装成正常内容的 dropper 传播，例如购物应用、成人视频应用或短剧应用，并通过社交媒体广告投放。受害者安装看似正常的应用后，内置 dropper 会检查设备上是否已有 Hirudo RAT，如果没有就安装。

当前 Hirudo 载荷针对 8 个印尼银行应用。内部代码显示，它也可能被用于针对中国、印度、墨西哥、摩洛哥和泰国的银行。恶意软件会检测设备上正在使用的特定印尼银行应用，弹出虚假更新提示，然后卸载真正的应用，并下载自己的、按银行定制的替换版本。

这个被修改的银行应用内置 hook 引擎，用于在应用内部致盲签名、Accessibility、屏幕捕获和 Play Integrity 检查。研究人员称：当应用向 Android 询问其签名证书时，hook 会替换成真实证书，并隐藏 test-key 签名；当它查询已启用的 Accessibility 服务时，hook 返回空列表，因此控制服务不可见。

Hirudo RAT 会窃取银行凭据，获得对受害者设备的实时远程控制，通过 WebRTC 提供实时屏幕查看，访问前置和后置摄像头，并通过 Android Accessibility Services 进行远程交互。它还会收集短信，包括初始 90 天扫描以及配置的银行和钱包发件人列表。

研究人员认为，Hirudo 的意义在于：它标志着 Android 银行木马攻击加固应用的方式出现刻意升级。通过把篡改移到目标应用内部，攻击从设备层面转移到应用自身的完整性检查层面，也从定制化补丁转向可复用的引擎，可以重新瞄准其他应用和地区。

应用本地产生的信号，如果应用可能已被替换，就不能单独信任。ThreatFabric 给金融机构四点建议：

1. 应在服务器端验证并强制执行 Play Integrity。仅有有效 verdict 不够，因为 Hirudo 会通过自己的服务器中继 Integrity 请求。
2. 应部署分层防御，并加入额外行为分析。行为数据有助于发现欺诈活动，而缺少行为数据本身就值得怀疑。
3. Accessibility 和屏幕捕获信号应被视为辅助证据，而不是阻断证据，因为伪造应用可以隐藏自己的 Accessibility 服务。这些检查应输入风险评分，而不是单独作为结论。
4. 应保留登录、凭据恢复、受益人创建和支付批准环节的后端交易风险控制。伪造的本地结果不能替代服务器端决策。