Onderzoekers waarschuwen voor een nieuwe Android-bankierstrojan: Hirudo Android-trojan. Wat dit incident bijzonder maakt, is de manier waarop de malware niet alleen gegevens steelt en een toestel overneemt, maar ook de beveiligingslogica in de banking-app zelf probeert te omzeilen.
In plaats van enkel via overlays of inspectie van het toestel te werken, vervangt Hirudo legitieme apps door doelgericht aangepaste versies. Hierdoor kan de trojan checks die de bank-app normaal beschermt, beïnvloeden met signalen die uit de app zelf terugkomen.
Hoe de Hirudo Android-trojan slachtoffers binnenhaalt
De aanval start via zogeheten dropper-apps. In de gemelde campagnes zitten apps die lijken op normale entertainment- en shopervaringen. Daarbij gaat het om onder meer Shopora, 1V1 X, KoiShort en ZoyaTV. Gebruikers krijgen echte content te zien via een WebView of een catalogusachtige interface, zodat het geheel legitiem oogt.
Daarna voert de dropper een vaste startroutine uit: de app verzamelt promotie-/trackingdata, haalt campagneconfiguratie op en controleert vervolgens of het payload-bestand (de Hirudo RAT) al op het toestel staat. Ook wordt bekeken of de benodigde rechten zijn geactiveerd, zoals toegankelijkheidsservice en meldingen-toegang.
Als Hirudo nog niet aanwezig is of rechten ontbreken, verschijnt een nagemaakte updateprompt in de app. Dat zet slachtoffers op het spoor richting installatie, zonder dat het systeemgedrag meteen verdacht aanvoelt.
On-device diefstal en remote controle
Zodra Hirudo is geïnstalleerd als een tweede app (dus niet als “verborgen modificatie” binnen de oorspronkelijke app), vraagt het om eigen machtigingen om kwaadwillende acties uit te voeren. De onderzoekers beschrijven onder andere:
- credential theft (het stelen van inloggegevens)
- device takeover (bediening van het toestel op afstand)
- screen en camera capture
- SMS theft
Daarnaast kan Hirudo afhankelijk van de lokroep (het type dropper-app) onjuiste betaal- en login-schermen tonen. Denk aan schermen die betalingstoetsen of pincode-invoer moeten vastleggen, maar ook aan nepverzoeken voor inloggegevens voor banken en wallet-apps. Voor de gebruiker ontstaat daarmee het beeld dat de app “gewoon werkt”, terwijl de malware de invoer en schermen misbruikt.
De kern: gepatchte vervanging van banking-apps
Het grootste verschil met veel andere Android-banking trojans zit in wat Hirudo doet met de doelbank-apps. In plaats van alleen het gedrag van het toestel te misleiden, richt de trojan zich op vervanging van de banking-app door een bijna identieke, gemanipuleerde kopie.
Volgens ThreatFabric zijn er vervangingen gevonden voor acht Indonesische banking-apps. De trojan werkt per doelapp met een mechanisme dat als volgt is opgebouwd:
- De RAT detecteert of de banking-app aanwezig is via toegankelijkheidsfuncties.
- Het controleert het handtekening-/signingcertificaat tegen een referentie die vooraf is opgeslagen.
- Daarna wordt een nep-“update”prompt weergegeven.
Vervolgens wordt de “echte” app op een manier benaderd die de gebruiker niet hoeft af te wachten: de malware opent de Android-uninstaller van de legitieme app. Tegelijk downloadt hij de bank-specifieke vervanging in parallel, zodat de gebruiker alsnog het idee houdt dat het om een normale update gaat.
Omzeilen van security checks vanuit de app
Veel verdediging draait om checks die binnen de banking-app zelf plaatsvinden. Hirudo probeert die checks te blinderen door in de aangepaste banking-app een hooking engine mee te nemen. Daarmee worden verschillende controles misleid, waaronder:
- checks rond signatures
- controle op toegankelijkheidsrechten
- controle op screen capture
- checks rond Play Integrity
De achterliggende gedachte is duidelijk: zodra de app vervangbaar is, moeten de signalen die de app lokaal produceert niet langer als betrouwbaar worden beschouwd. ThreatFabric stelt dan ook dat integriteits- en attestatiegegevens die “uit de app komen”, in zo’n scenario door een aanvaller beïnvloed kunnen zijn.
Wat er technisch wordt teruggegeven aan de app
De onderzoekers beschrijven dat de hooking engine reacties kan terugsturen die vooraf door de aanvaller zijn voorbereid. Een aantal elementen die genoemd worden:
- Het “teruggeven” van het echte signingcertificaat zodat de app denkt dat de identiteit klopt.
- Het terugsturen van een lege lijst wanneer er wordt gevraagd naar ingeschakelde toegankelijkheidsservices.
- Het weghalen of onderdrukken van een specifieke vlag, zodat appschermen kunnen worden bekeken en vastgelegd op afstand.
Daarnaast wordt melding gemaakt van het opnieuw ondertekenen van attestation-material (met een zogenoemde keybox) en het relaying van Play Integrity-aanvragen. Daarbij worden requests via plain HTTP doorgestuurd naar een server die door de operator wordt beheerd, die vervolgens een verdict teruggeeft dat de app accepteert.
Waarom “een geldige Play Integrity response” niet genoeg is
Defenders krijgen hiermee een belangrijk aandachtspunt. Als de integrity-aanvraag wordt doorgestuurd en niet daadwerkelijk door de oorspronkelijke beveiligingsmechanismen tot stand komt, dan is een “geldige” response niet per definitie bewijs dat de app niet is gemanipuleerd.
ThreatFabric noemt daarbij twee details die voor verificatie cruciaal zijn. Ten eerste is de attestation keybox die in de engine is ingebouwd niet uniek voor de aanvaller, maar lijkt een publiek gelekte keybox gebruikt te worden. Ten tweede betekent het relaying-concept dat een Integrity-response alleen niet voldoende context biedt.
Anti-detectie: internetblokkade via een niet-werkende VPN
Naast app-vervanging richt Hirudo ook op detectie-aanpak. De trojan implementeert volgens de onderzoekers een anti-detectiemethode door bij de installatiefase een bewust niet-functionele VPN te configureren, zodat internettoegang geblokkeerd lijkt.
Het doel hiervan is vermoedelijk om te voorkomen dat beveiligingsdiensten of apps, zoals cloud-gebaseerde controles, tijdig of volledig kunnen scannen. ThreatFabric nuanceert dat dit niet volledig neerkomt op “uitzetten van bescherming”, omdat offline detectie van bekende schadelijke apps nog steeds kan werken.
De rol van het backend: campagnebeheer en gestolen data
Een belangrijk onderdeel van de operatie is het backend dat device control en campagnebeheer ondersteunt. Daarbij kan de aanvaller verschillende gegevens verzamelen en gebruiken, waaronder device-records, geschiedenis van lockscreen-events en financiële profielvelden met onder andere maandinkomen en een risk-score.
Die combinatie past in het bredere patroon van financiële fraude: niet alleen “capturen en stelen”, maar ook gericht sturen op basis van context om de kans op succesvolle transacties of credentie-exfiltratie te vergroten.
Vergelijking met eerdere Android-campagnes
In dezelfde rapportagereeks is eerder StreamRat genoemd. Daar ging het om targeting van Spaanse gebruikers via Meta en TikTok, met impersonatie van een gratis tv-streamingdienst. Ook daar stond misbruik van accessibility services en extra techniek rond near-complete device control centraal.
De overeenkomst met Hirudo is dat beide campagnes inzetten op toegang en bediening via Android-functies. Het verschil is dat Hirudo de competitie niet alleen in het domein van het toestel speelt, maar nadrukkelijk ook in het domein van app-integriteitschecks door de banking-app zelf te manipuleren.
Wat kunnen organisaties en gebruikers doen?
Hoewel dit vooral een consumentenrisico is, raken de lessen organisaties die mobile toegang, accounts of digitale betalingen ondersteunen. Neem daarom de volgende aanpakpunten mee.
1) Behandel app-integriteit als server-side verantwoordelijkheid
Als een aanvaller lokaal signalen kan beïnvloeden, dan wordt server-side verificatie belangrijker. Laat integriteitsbeslissingen niet alleen leunen op lokale antwoorden die door een gemanipuleerde app kunnen zijn “gemodelleerd”.
2) Let op frictie: vervanging van legitieme apps door “updates”
De nep-updateprompt en de tijdelijke uninstaller-flow zijn signalen die gebruikers wellicht kunnen herkennen. Besteed in awareness aandacht aan updates die niet via de officiële distributiekanalen lopen of die ongebruikelijk snel of zonder duidelijke gebruikersactie worden gestart.
3) Beperk impact van credential diefstal
Als credentials gestolen kunnen worden via overlays, camera of screen capture, dan helpen maatregelen zoals sterke authenticatie, korte sessietijden en snelle accountblokkering bij verdachte meldingen.
Wil je meer lezen over hoe attackers misbruik maken van trustketens en beveiligingschecks? Bekijk dan ook wat Microsoft Patch Tuesday leert over Chrome-chain exploits en hoe runtime identity privilege escalatie kan helpen stoppen.
Conclusie
De Hirudo Android-trojan laat zien hoe financiële malware steeds verder gaat dan alleen overlays en data-stealing. Door legitieme banking-apps te vervangen door gepatchte kopieën, kan Hirudo beveiligingschecks misleiden vanuit de app zelf — inclusief signalen rond handtekeningen, toegankelijkheid, screen capture en Play Integrity.
Voor verdedigers is de belangrijkste les helder: vertrouw integriteitsinformatie niet blind op het toestel, zeker niet wanneer de app zelf kan zijn aangepast. Combineer daarom technische controles met goede detectie van verdachte “update”-flows en sterke accountbescherming.
Bron: https://thehackernews.com/2026/10/hirudo-android-trojan-uses-patched.html
