To złośliwe oprogramowanie nie udaje aplikacji bankowej. Ono ją podmienia.

Większość bankowego złośliwego oprogramowania na Androida rysuje fałszywy ekran na prawdziwej aplikacji i liczy, że wpiszecie tam hasło. Hirudo, opisany 14 października przez holenderską firmę ThreatFabric, całkowicie pomija to podejście. Zauważa, którą aplikację bankową już macie, pokazuje coś, co wygląda jak monit o aktualizację, skłania was do odinstalowania prawdziwej i instaluje w tym samym miejscu własną zmodyfikowaną kopię.

To zmienia wszystko, czym aplikacja mogła się bronić. Złośliwy kod działa teraz wewnątrz procesu samej aplikacji bankowej i niesie ze sobą silnik hookowania, który podrabia certyfikat podpisu, zwraca pustą listę, gdy aplikacja pyta o aktywne usługi ułatwień dostępu, usuwa flagę blokującą zrzuty ekranu i przekierowuje kontrolę Google Play Integrity na serwer napastników. Aplikacja sprawdza, czy nie została zmanipulowana, i dostaje uspokajającą odpowiedź, bo pyta o to samą manipulację.

Dalej jest zwykła ponura lista: dane logowania, PIN-y płatnicze, kod odblokowania urządzenia, SMS-y, zdalne sterowanie ekranem na żywo i dostęp do obu aparatów. Na celowniku jest na razie osiem indonezyjskich banków, a ślady wskazują na Chiny, Indie, Meksyk, Maroko i Tajlandię. Dostanie się na telefon nadal wymaga, by ktoś coś zainstalował, a droga wiedzie przez reklamę na platformie Meta, stronę zbudowaną tak, by przypominała Google Play, oraz aplikację zakupową albo z krótkimi serialami, która jest w rzeczywistości tylko loaderem.

Ta ostatnia część dobrze się przenosi. Reklama, strona przypominająca oficjalny sklep, a potem propozycja zainstalowania aktualizacji, której sklep nigdy nie oferował: na Windows to ten sam ruch i nadal działa. Kontrola bezpieczeństwa w Tendvane wskazuje programy, które trafiły na wasz komputer tą drogą, choć usuwanie złośliwego oprogramowania pozostaje zadaniem waszego antywirusa.