Acest program malițios nu imită aplicația băncii. O înlocuiește.
Cele mai multe programe malițioase bancare de pe Android desenează un ecran fals peste aplicația adevărată și speră că veți tasta acolo parola. Hirudo, documentat de firma olandeză ThreatFabric pe 14 octombrie, sare complet peste această abordare. Observă ce aplicație bancară aveți deja, vă arată ceva ce seamănă cu o solicitare de actualizare, vă face să dezinstalați aplicația reală și instalează în același loc propria copie modificată.
Asta schimbă tot ce avea aplicația la dispoziție ca să se apere. Codul malițios rulează acum în interiorul procesului aplicației bancare și aduce cu el un motor de hooking care falsifică certificatul de semnătură, returnează o listă goală când aplicația întreabă ce servicii de accesibilitate sunt active, scoate indicatorul care blochează capturile de ecran și redirecționează verificarea Play Integrity de la Google către un server controlat de atacatori. Aplicația verifică dacă a fost modificată și primește un răspuns liniștitor, pentru că întreabă chiar modificarea.
De acolo încolo urmează lista sumbră obișnuită: date de autentificare, coduri PIN de plată, codul de deblocare al aparatului, SMS-uri, control la distanță al ecranului în direct și acces la ambele camere. Deocamdată sunt vizate opt bănci indoneziene, cu indicii care arată spre China, India, Mexic, Maroc și Thailanda. Ca să ajungă pe telefon tot e nevoie ca cineva să instaleze ceva, iar drumul trece printr-o reclamă pe o platformă Meta, o pagină făcută să semene cu Google Play și o aplicație de cumpărături sau de seriale scurte care este de fapt doar un încărcător.
Ultima parte călătorește bine. O reclamă, o pagină care seamănă cu un magazin oficial și apoi invitația de a instala o actualizare pe care magazinul nu a oferit-o niciodată: pe Windows este aceeași mișcare și încă funcționează. Verificarea de siguranță din Tendvane semnalează programele ajunse pe PC-ul vostru pe această cale, chiar dacă ștergerea programelor malițioase rămâne treaba antivirusului.