Questo malware non imita la vostra app bancaria. La sostituisce.

Quasi tutti i malware bancari su Android disegnano una schermata finta sopra l'app vera e sperano che ci digitiate dentro la password. Hirudo, descritto dalla società olandese ThreatFabric il 14 ottobre, salta del tutto questo approccio. Si accorge di quale app bancaria avete già, vi mostra quello che sembra un avviso di aggiornamento, vi fa disinstallare quella autentica e installa al suo posto la propria copia modificata.

Questo cambia tutto ciò con cui l'app poteva difendersi. Il codice malevolo adesso gira dentro il processo stesso dell'app bancaria, con un motore di hooking che falsifica il certificato di firma, restituisce una lista vuota quando l'app chiede quali servizi di accessibilità sono attivi, rimuove il flag che blocca le schermate e inoltra il controllo Play Integrity di Google a un server gestito dagli attaccanti. L'app verifica di non essere stata manomessa e riceve una risposta rassicurante, perché sta chiedendo alla manomissione stessa.

Da lì in poi arriva la solita lista poco allegra: credenziali, PIN di pagamento, codice di sblocco del dispositivo, SMS, controllo remoto dello schermo in diretta e accesso a entrambe le fotocamere. Finora sono prese di mira otto banche indonesiane, con indizi che puntano a Cina, India, Messico, Marocco e Thailandia. Per arrivare sul telefono serve comunque che qualcuno installi qualcosa, e la strada passa da un annuncio su una piattaforma Meta, una pagina costruita per somigliare a Google Play e un'app di shopping o di serie brevi che in realtà è solo un caricatore.

Quest'ultimo pezzo viaggia bene. Un annuncio, una pagina che somiglia a uno store ufficiale, poi l'invito a installare un aggiornamento che lo store non ha mai proposto: su Windows è la stessa mossa, e funziona ancora. Il controllo di sicurezza di Tendvane segnala i programmi arrivati sul vostro PC per quella via, anche se rimuovere il malware resta un compito del vostro antivirus.