بدافزار بانکی جدیدی در پلتفرم اندروید با نام Hirudo شناسایی شده است که از روشی بسیار پیشرفته برای کلاهبرداری مالی استفاده می‌کند. برخلاف تروجان‌های (Trojan) سنتی که تنها به نمایش صفحات فیشینگ (Phishing) بسنده می‌کنند، Hirudo تلاش می‌کند اپلیکیشن بانکی اصلی قربانی را حذف کرده و یک نسخه تغییریافته (Modified) را جایگزین آن کند. این نسخه جدید، نام و ورژن اپلیکیشن اصلی را حفظ می‌کند اما حاوی کدهای مخربی است که برای مختل کردن بررسی‌های امنیتی طراحی شده‌اند.
مکانیزم جایگزینی و دور زدن امنیت
این بدافزار از سرویس‌های دسترسی (Accessibility Services) اندروید برای شناسایی اپلیکیشن‌های بانکی هدف و بررسی گواهی امضای (Signing Certificate) آن‌ها استفاده می‌کند. پس از شناسایی، Hirudo با نمایش یک پیام به‌روزرسانی جعلی، از کاربر می‌خواهد اپلیکیشن اصلی را حذف کرده و نسخه مخرب را نصب کند. نسخه جایگزین، اگرچه از نظر نام و ورژن مشابه نسخه اصلی است، اما با یک کلید تست عمومی (Public Test Key) امضا شده است.
پس از نصب، بدافزار از موتورهای Hooking مبتنی بر فریم‌ورک‌های متن‌باز YAHFA و Dobby استفاده می‌کند تا پاسخ‌های اپلیکیشن بانکی را دستکاری کند. این تکنیک به بدافزار اجازه می‌دهد تا:
- گواهی امضای واقعی بانک را به جای امضای تست نمایش دهد.
- لیست سرویس‌های Accessibility فعال را خالی گزارش کند تا حضور خود را پنهان کند.
- تنظیمات
FLAG_SECUREرا حذف کند تا امکان اسکرین‌شات گرفتن از صفحات حساس فراهم شود. - درخواست‌های Play Integrity را به سرورهای تحت کنترل مهاجم هدایت کند تا نتایج جعلی برای تایید سلامت اپلیکیشن ارسال شود.
قابلیت‌های کنترل از راه دور و سرقت داده‌ها
Hirudo فراتر از یک تروجان ساده، در واقع یک Remote Access Trojan (RAT) است. عامل‌های تهدید (Threat Actors) می‌توانند از طریق این بدافزار به موارد زیر دسترسی داشته باشند:
- مشاهده زنده صفحه نمایش (Live Screen Viewing) از طریق پروتکل WebRTC.
- دسترسی به دوربین‌های جلو و عقب گوشی.
- سرقت رمزهای عبور بانکی، PINهای پرداخت و پیام‌های SMS.
- دسترسی به الگوهای قفل صفحه (Screen-lock patterns).
تحقیقات نشان می‌دهد که این کمپین علاوه بر تمرکز بر اندونزی، اهدافی در چین، هند، مکزیک، مراکش و تایلند را نیز دنبال می‌کند. این بدافزار معمولاً از طریق اپلیکیشن‌های کاربردی مانند خرید، سرگرمی و درام‌های کوتاه (مانند Shopora و ZoyaTV) توزیع می‌شود.
توصیه‌های امنیتی برای سازمان‌ها و کاربران
بانک‌ها و سازمان‌های مالی باید به جای تکیه بر سیگنال‌های تولید شده توسط خودِ اپلیکیشن در گوشی کاربر، از بررسی‌های سمت سرور (Server-side) برای تایید سلامت دستگاه و گواهی‌ها استفاده کنند. کاربران نیز باید از نصب هرگونه به‌روزرسانی خارج از فروشگاه‌های رسمی خودداری کرده و در صورت ناپدید شدن ناگهانی اپلیکیشن‌های بانکی، بلافاصله با بانک مربوطه تماس بگیرند.
