Este malware no imita su aplicación bancaria. La sustituye.
La mayoría del malware bancario de Android dibuja una pantalla falsa encima de la aplicación auténtica y confía en que usted escriba allí su contraseña. Hirudo, descrito por la firma neerlandesa ThreatFabric el 14 de octubre, se salta ese enfoque por completo. Detecta qué aplicación bancaria tiene ya instalada, le muestra lo que parece un aviso de actualización, consigue que desinstale la auténtica e instala en el mismo sitio su propia copia modificada.
Eso cambia todo aquello con lo que la aplicación podía defenderse. El código malicioso corre ahora dentro del proceso de la propia aplicación bancaria, con un motor de hooking que falsifica el certificado de firma, devuelve una lista vacía cuando la aplicación pregunta qué servicios de accesibilidad están activos, quita la marca que bloquea las capturas de pantalla y reenvía la comprobación Play Integrity de Google a un servidor que controlan los atacantes. La aplicación comprueba si ha sido manipulada y recibe una respuesta tranquilizadora, porque se lo está preguntando a la manipulación.
A partir de ahí viene la lista sombría de siempre: credenciales, PIN de pago, código de desbloqueo del dispositivo, SMS, control remoto de la pantalla en directo y acceso a ambas cámaras. De momento hay ocho bancos indonesios en el punto de mira, con indicios que apuntan a China, India, México, Marruecos y Tailandia. Llegar al teléfono sigue requiriendo que alguien instale algo, y la ruta pasa por un anuncio en una plataforma de Meta, una página construida para parecerse a Google Play y una aplicación de compras o de series cortas que en realidad es un cargador.
Esa última parte viaja bien. Un anuncio, una página que se parece a una tienda oficial y luego una invitación a instalar una actualización que la tienda nunca ofreció: en Windows es el mismo movimiento, y sigue funcionando. La comprobación de seguridad de Tendvane señala los programas que llegaron a su PC por esa vía, aunque eliminar malware sigue siendo tarea de su antivirus.