Beveiligingsonderzoekers van ThreatFabric hebben een nieuwe Android-malware met de naam Hirudo blootgelegd die bankapps niet overlapt met een vals inlogscherm, maar volledig vervangt door een gepatchte kopie. Hirudo bootst inmiddels minstens acht bankapps na. Het grootste deel van de doelwitten zit in Indonesië, met zeker zeven nagemaakte banken, maar de onderzoekers zagen ook sporen van interesse in financiële instellingen in China, India, Mexico, Marokko en Thailand.
Vervanging in plaats van overlay
Hirudo verspreidt zich via nepapps die zich voordoen als alledaagse diensten: de winkel-app Shopora, de contentapp 1V1 X en de kortefilmapps ZoyaTV en KoiShort. Die apps fungeren als lader. Een nagemaakte updatemelding verleidt gebruikers tot het geven van rechten, waaronder toegang tot de Accessibility-diensten van Android.
Zodra die rechten zijn verleend, verwijdert Hirudo de echte bankapp via de ingebouwde uninstaller en installeert automatisch een gepatchte versie terug, via diezelfde Accessibility-rechten. Een gebruiker kan dat proces op twee momenten onderbreken. Dat is de belangrijkste zwakke plek in de aanval.
De gepatchte app bevat vrijwel alle originele code, maar laadt een hooking-engine op basis van de opensource-frameworks YAHFA en Dobby. Die engine vervangt het signing-certificaat bij elke opvraging, verbergt actieve Accessibility-diensten voor de gebruiker, schakelt schermbeveiliging uit zodat de operator kan meekijken en meeluisteren, en past key-attestation-certificaten aan zodat verzoeken aan Google Play Integrity via een server van de aanvaller verlopen. Daarmee omzeilt Hirudo precies de controles die bankapps gebruiken om manipulatie te herkennen.
Die truc kent wel een zwakte. De meegeleverde attestation-keybox is eerder gelekt en Google heeft twee certificaten daaruit als gecompromitteerd gemarkeerd. Banken die dat serverzijdig controleren, kunnen vervalste apparaten daardoor alsnog herkennen.
Wat de malware steelt
Eenmaal actief verzamelt Hirudo bankwachtwoorden, betaalpincodes en ontgrendelcodes van het toestel, en leest het sms-berichten. De malware stuurt het scherm live door naar de operators en heeft toegang tot beide camera’s. Bij een betaling toont Hirudo soms een nagemaakte afrekenpagina die de pincode onderschept en daarna een vals betaalsucces laat zien.
ThreatFabric vond in een onbeveiligd backend-paneel van de aanvallers duizenden gestolen inloggegevens, naast apparaat-, schermvergrendelings- en financiële profielgegevens van slachtoffers. Hoeveel mensen daadwerkelijk zijn getroffen, is onbekend. De onderzoekers noemen Hirudo een bewuste escalatie in de manier waarop Android-bankers gehardende apps aanpakken: de aanval verschuift van controles op het apparaat zelf naar de beveiligingsmechanismen binnen de bankapps.
Het is niet de eerste clonecampagne die zich op Indonesische bankapps richt. In september zat daar ook al de Gigabud-trojan achter bankfraude verstopt in een vervalst Android-werkprofiel.
- Banken valideren integriteit en attestation het best serverzijdig, koppelen die controles aan sessies en gevoelige acties, en houden gedrags- en transactierisicocontroles aan.
- Gebruikers installeren apps alleen via de Play Store, houden het toestel up-to-date en draaien regelmatig een Play Protect-scan.
Bron: BleepingComputer
Wat betekent dit voor jouw bedrijf?
Hirudo richt zich vooralsnog vooral op Indonesische bankapps en is niet gesignaleerd in de Google Play Store, maar de vervangingstechniek maakt detectie lastiger dan bij een klassieke overlay-aanval. Installeer bank-apps alleen via de officiële store en wees achterdochtig bij een 'updatemelding' die om Accessibility-rechten vraagt.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.