Pesquisadores da ThreatFabric detalharam em 14 de outubro o Hirudo, um trojan bancário para Android que também funciona como ferramenta de acesso remoto e que substitui o aplicativo do banco por uma cópia controlada pelo atacante.
A entrada é feita por aplicativos-isca com tema de compras, vídeo adulto e séries curtas, entre eles Shopora, 1V1 X, ZoyaTV e KoiShort. A isca verifica se o Hirudo já está no aparelho e, quando não está, exibe um falso aviso de atualização para instalar um segundo pacote, que carrega o trojan.
A troca usa o serviço de acessibilidade. O malware detecta o app do banco visado, confere o certificado de assinatura, mostra uma mensagem falsa de atualização e abre o desinstalador do sistema para o aplicativo verdadeiro sair. No lugar dele entra uma cópia com o mesmo nome de pacote e a mesma versão, assinada com uma chave de teste pública.
A desinstalação é obrigatória porque o Android não aceita a cópia como atualização de um aplicativo assinado pelo banco. É também o ponto em que o usuário consegue interromper o ataque, cancelando a desinstalação ou recusando a instalação seguinte.
Com a cópia em execução, um motor de interceptação construído sobre os projetos abertos YAHFA e Dobby devolve o certificado legítimo do banco quando o aplicativo consulta a própria assinatura, informa lista vazia de serviços de acessibilidade, remove a marcação que bloqueia captura de tela e repassa parte das checagens do Play Integrity a um servidor do operador.
O conjunto reúne oito réplicas prontas para sete bancos da Indonésia, e o roubo de credenciais mira usuários na China, Índia, México, Marrocos e Tailândia. Não há caso relatado no Brasil, e a tela falsa de pagamento usa marca de banco da Malásia.
Registros do servidor do grupo coletados em agosto de 2026 continham milhares de credenciais, dados de dispositivos e perfis financeiros, segundo a ThreatFabric. A empresa afirma que o conjunto de chaves de atestação usado no esquema foi vazado publicamente e que pelo menos dois certificados dele constam na lista de revogação do Google.
