Se ha identificado un nuevo troyano bancario para Android llamado Hirudo, el cual emplea una técnica inusual para el fraude financiero: intenta eliminar la aplicación bancaria legítima de la víctima para instalar una copia modificada en su lugar. Esta versión maliciosa mantiene el nombre y la versión original, pero incluye código adicional diseñado para evadir los controles de seguridad.

Un troyano bancario para Android recientemente identificado llamado Hirudo toma una ruta inusual para el fraude financiero: intenta eliminar la aplicación bancaria genuina de la víctima e instalar una copia modificada en su lugar.

El reemplazo mantiene el nombre y la versión de la aplicación del banco, pero contiene código adicional diseñado para interferir con las verificaciones de seguridad.

En lugar de confiar únicamente en pantallas de inicio de sesión falsas mostradas sobre una aplicación real, los operadores de Hirudo intentan que la propia aplicación bancaria devuelva respuestas que oculten la presencia del malware.

La campaña combina el reemplazo de aplicaciones con el robo de credenciales y el control remoto de teléfonos infectados. Sus operadores pueden buscar contraseñas bancarias, PIN de pago, mensajes SMS y detalles de desbloqueo del dispositivo, mientras también pueden ver la pantalla y acceder a las cámaras.

Esto hace que Hirudo sea más que una aplicación bancaria falsa: es un troyano de acceso remoto, o RAT, creado para ayudar a los criminales a recopilar información y actuar en un dispositivo comprometido.

Analistas de ThreatFabric identificaron el malware e informaron que tiene preparadas copias de reemplazo para ocho aplicaciones bancarias indonesias que cubren siete bancos.

Los investigadores también encontraron un conjunto más amplio de aplicaciones financieras en la lista de objetivos de Hirudo, lo que sugiere que los operadores construyeron un sistema que podría adaptarse más allá de esos bancos.

Nuevo Malware de Android Reemplaza Aplicaciones Bancarias Legítimas

Hirudo llega a los usuarios a través de aplicaciones de compras y entretenimiento aparentemente útiles. ThreatFabric describió señuelos basados en compras, videos para adultos y dramas cortos, incluyendo nombres como Shopora, 1V1 X, ZoyaTV y KoiShort.

El señuelo puede mostrar contenido que parece real, como una tienda o un catálogo de videos, mientras verifica discretamente si la carga útil de Hirudo ya está instalada.

Si no lo está, el señuelo muestra un aviso de actualización falso y te pide que instales otro paquete de aplicación. Esa segunda aplicación transporta el troyano y necesita sus propios permisos antes de que sus funciones de robo y control remoto puedan funcionar.

Esta configuración de dos aplicaciones puede hacer que la primera descarga parezca menos sospechosa, mientras que la actualización falsa te persuade para instalar el componente más peligroso. Sigue un patrón visto en otras amenazas bancarias de Android, como el abuso de los permisos de Accesibilidad de TrickMo.

Una vez activo, Hirudo utiliza el servicio de Accesibilidad de Android para detectar una aplicación bancaria objetivo y verificar su certificado de firma. Luego muestra un mensaje de actualización falso, abre el desinstalador del sistema para la aplicación genuina y descarga un reemplazo específico del banco.

El reemplazo utiliza el mismo nombre de paquete y versión que el original, pero está firmado con una clave de prueba pública en lugar de la clave propia del banco. Android no lo aceptará como una actualización ordinaria sobre la aplicación firmada por el banco, por lo que Hirudo intenta primero eliminar la aplicación genuina.

Ese paso crea un límite importante: tú podrías interrumpir la desinstalación o negarte a aprobar la instalación del reemplazo. Pero si la aplicación modificada se instala, puede cargar un motor de "hooking" oculto basado en los frameworks de código abierto YAHFA y Dobby.

Un "hook" cambia la forma en que una aplicación responde cuando verifica una función o solicita información. Hirudo utiliza este método para interferir con las verificaciones desde dentro del propio proceso de la aplicación bancaria.

Cómo se reemplaza la aplicación bancaria

El motor puede devolver el certificado de firma genuino del banco en lugar de revelar la firma de la clave de prueba. Puede informar una lista vacía de servicios de Accesibilidad habilitados, ocultando el servicio de control del malware, y eliminar la configuración FLAG_SECURE que bloquea las capturas de pantalla.

Los operadores pueden entonces ver o grabar las pantallas bancarias de forma remota. Hirudo también retransmite algunas solicitudes de Play Integrity a un servidor controlado por el operador, que puede devolver un resultado para que la aplicación modificada lo acepte.

Es por esto que una verificación de integridad aparentemente exitosa no siempre demuestra que una aplicación sea genuina. ThreatFabric afirma que la caja de claves de atestación incluida por los atacantes se filtró públicamente, y al menos dos certificados en ella aparecen en la lista de revocación de Google.

Los bancos deberían verificar las señales de integridad en sus propios servidores, incluyendo si los certificados han sido revocados, y no deberían confiar en un resultado producido únicamente en un teléfono que ya podría estar comprometido.

Campañas similares de robo de credenciales en Android, incluyendo el uso de descargas de aplicaciones falsas de RatHat, muestran por qué la ruta de instalación inicial es tan importante como la detección posterior.

Más allá de reemplazar aplicaciones bancarias, Hirudo puede presentar páginas de pago falsas y solicitar contraseñas de inicio de sesión o PIN de pago.

También puede recopilar mensajes SMS, incluyendo mensajes de bancos y billeteras seleccionadas, y en algunas versiones apuntar a patrones de bloqueo de pantalla u otros detalles de desbloqueo. Sus funciones de control remoto incluyen la visualización de la pantalla en vivo a través de WebRTC y sesiones utilizando la cámara frontal o trasera del teléfono.

ThreatFabric descubrió que los ocho reemplazos de aplicaciones bancarias preparados se centran en Indonesia, mientras que el código del malware incluye objetivos de credenciales en China, India, México, Marruecos y Tailandia. La función de pago falso también lleva la marca de bancos y billeteras malayas.

Los investigadores informaron que los registros del backend recopilados en agosto de 2026 incluían miles de entradas de credenciales, información de dispositivos y perfiles financieros; evidencia de una operación diseñada para organizar datos robados para el fraude.

Tú deberías tener precaución cuando una aplicación te pida instalar una actualización fuera de la tienda oficial de aplicaciones, especialmente si también solicita acceso de Accesibilidad sin una necesidad clara.

No elimines una aplicación bancaria ni instales un reemplazo a petición de una aplicación desconocida. Si una aplicación bancaria desaparece inesperadamente o una aplicación desconocida solicita un control amplio del teléfono, contacta al banco utilizando sus datos de contacto oficiales y verifica el dispositivo desde un canal confiable.

Los bancos deberían combinar las verificaciones de Play Integrity del lado del servidor con verificaciones de revocación de certificados, monitoreo de comportamiento y controles de riesgo de transacciones.

Deberían tratar las señales de Accesibilidad y de captura de pantalla como evidencia de apoyo, no como una prueba confiable de que una aplicación es segura, porque Hirudo puede manipular ambas.

El monitoreo también debería cubrir acciones sensibles como el inicio de sesión, la recuperación de contraseñas, la adición de un beneficiario de pago y la aprobación de una transferencia. El riesgo general es claro: si un malware puede alterar una aplicación bancaria, las señales generadas solo dentro de esa aplicación pueden estar bajo el control de un atacante.

Fuentes:
https://cybersecuritynews.com/new-android-malware-2/