Ця шкідлива програма не вдає ваш банківський застосунок. Вона його підміняє.

Більшість банківських шкідливих програм для Android малює фальшивий екран поверх справжнього застосунку й сподівається, що ви введете туди пароль. Hirudo, описаний нідерландською компанією ThreatFabric 14 жовтня, цей підхід оминає цілком. Він помічає, який банківський застосунок у вас уже є, показує щось схоже на запрошення оновитися, змушує видалити справжній і ставить на те саме місце власну змінену копію.

Це змінює все, чим застосунок міг себе захищати. Шкідливий код тепер працює всередині процесу самого банківського застосунку й несе механізм перехоплення, який підробляє сертифікат підпису, повертає порожній список, коли застосунок питає про активні служби доступності, прибирає прапорець, що блокує знімки екрана, і переадресовує перевірку Google Play Integrity на сервер зловмисників. Застосунок перевіряє, чи його не змінювали, і отримує заспокійливу відповідь, бо питає саме ту підміну.

Далі йде звичний невеселий перелік: облікові дані, платіжні PIN-коди, код розблокування пристрою, SMS, живе дистанційне керування екраном і доступ до обох камер. Поки що під прицілом вісім індонезійських банків, а сліди вказують на Китай, Індію, Мексику, Марокко й Таїланд. Щоб потрапити на телефон, усе ще потрібно, аби людина щось встановила, і шлях пролягає через рекламу на платформі Meta, сторінку, зроблену схожою на Google Play, та застосунок для покупок чи коротких серіалів, який насправді лише завантажувач.

Остання частина добре переноситься. Реклама, сторінка, схожа на офіційний магазин, а потім пропозиція встановити оновлення, якого магазин ніколи не пропонував: у Windows це той самий хід, і він досі спрацьовує. Перевірка безпеки в Tendvane показує програми, які потрапили на ваш ПК саме цим шляхом, хоча власне видалення шкідливого коду лишається роботою вашого антивірусу.