Дослідники безпеки з ThreatFabric виявили Android-малвару Hirudo, яка замінює встановлені банківські застосунки маніпульованими версіями та при цьому викрадає дані. Як повідомляє chip.de, дослідники наразі виявили копії восьми банківських застосунків.
За даними фахівців, Hirudo маскується під застосунок для покупок, розваг або коротких відео та під приводом вимагає дозволів на доступ, зокрема до функцій спеціальних можливостей. Після цього шкідливе програмне забезпечення видаляє оригінальний банківський застосунок, завантажує змінену версію та встановлює її. За словами ThreatFabric, вбудований механізм перехоплення (hooking) може обходити, зокрема, перевірки підпису, засоби контролю доступності та запити Play Integrity. Маніпульований застосунок виглядає переважно як оригінал.
Водночас, за даними ThreatFabric, зловмисники можуть викрадати банківські паролі, платіжні PIN-коди та PIN-коди пристрою, SMS, а також вміст екрана; камеру й мікрофон також можна використати зловмисно. Підроблені платіжні сторінки після введення даних показували успішне завершення операції.
Спочатку ThreatFabric спостерігала Hirudo в банківських застосунках з Індонезії. Є також ознаки атак на фінансові організації в Китаї, Індії, Мексиці, Марокко та Таїланді. Кількість постраждалих наразі невідома, але, за припущеннями, сягає тисяч.
Користувачам Android слід встановлювати застосунки лише з офіційних джерел, не відкривати APK-файли з невідомих магазинів, тримати пристрої оновленими та регулярно запускати Play Protect. У разі підозри на малвару Федеральне відомство з питань безпеки в інформаційній техніці (BSI), за повідомленням chip.de, радить спершу перевірити нещодавно встановлені застосунки та негайно їх видалити.
