Hirudo, il trojan che inganna le app bancarie dall'interno sostituendole con

Un nuovo malware Android denominato Hirudo ha modificato il modo in cui i trojan bancari aggrediscono le applicazioni protette. Scoperto da ThreatFabric e documentato il 14 ottobre 2026, Hirudo non si limita a sovrapporre interfacce fraudolente: disinstalla l'app bancaria legittima e la sostituisce con una copia patchata che incorpora un hooking engine nel proprio processo. Questa tecnica neutralizza i controlli client-side di integrità, rendendo inaffidabili segnali che le banche utilizzano da anni per verificare la sicurezza del dispositivo.

Come agisce: l'app-replacement attack che abbassa il drawbridge

Hirudo entra nel dispositivo tramite dropper apparentemente legittimi. Una volta attivo, presenta una finta notifica di aggiornamento che avvia l'installazione del payload principale con permessi Accessibility. Da quel punto, il malware apre il disinstallatore di sistema per l'app bancaria reale e, in parallelo, scarica la copia patchata specifica per quella istituzione.

Il processo è tecnicamente delicato e può essere interrotto dalla vittima in almeno due momenti, secondo l'analisi di ThreatFabric. Se l'utente non blocca l'operazione, però, il risultato è un'app bancaria quasi identica all'originale: mantiene quasi tutto il codice genuino, ma carica nel proprio processo un engine di hooking che modifica il comportamento dei controlli di sicurezza interni.

L'engine si basa su YAHFA e Dobby, framework open-source noti nella comunità di ricerca mobile. La scelta non è casuale: questi strumenti permettono di intercettare chiamate a metodi nativi e Java senza richiedere lo sviluppo di exploit specifici per ogni applicazione target. Il paradigma si sposta dalla patch artigianale all'engine riutilizzabile, con una barriera all'ingresso significativamente più bassa per replicare l'attacco su altre app e regioni.

"With the engine running inside the banking app's own process, the app's defenses are turned against it" — ThreatFabric researchers

I bypass specifici: quando i controlli client-side mentono al server

Hirudo dimostra che i meccanismi di difesa distribuiti nelle app bancarie possono essere compromessi se l'app stessa è quella a mentire. L'engine intercetta quattro categorie di verifica: la firma dell'applicazione, sostituita con il certificato genuino quando interrogata; i servizi Accessibility, per cui restituisce una lista vuota nascondendo i propri permessi; la protezione screenshot FLAG_SECURE, rimossa per permettere visualizzazione e registrazione remota dello schermo; le richieste Play Integrity, inoltrate via HTTP in chiaro a un server controllato dall'operatore che restituisce un verdetto valido.

Il meccanismo di attestazione hardware è anch'esso compromesso. Il keybox bundled con Hirudo è stato leaked pubblicamente, e Google ha revocato due dei suoi certificati. Questo non elimina la capacità del malware di operare — il relay a server esterno resta funzionale — ma indica che l'infrastruttura di attestazione non è immune da riutilizzo di materiali esposti.

Il backend esposto e l'ambizione geografica

Oltre al meccanismo di sostituzione, Hirudo presenta un'infrastruttura di comando e controllo matura. Un pannello backend non protetto conteneva migliaia di voci con credenziali applicative. Il sistema gestisce campagne multiple, profila le vittime con dati come reddito mensile e punteggio di rischio, e coordina raccolte di password bancarie, PIN di pagamento, segreti di sblocco del dispositivo, SMS, streaming dello schermo e accesso a entrambe le telecamere.

Le pagine di checkout false completano il furto raccogliendo il PIN di pagamento con un finto esito di transizione riuscita. L'operazione non si limita all'Indonesia: ThreatFabric ha identificato target in Cina, India, Messico, Marocco e Thailandia, per un totale di almeno sette paesi. Questa distribuzione geografica suggerisce che l'infrastruttura è pensata per scalare, non per colpire un mercato isolato.

Anti-rilevamento e limiti del bypass di Play Protect

Hirudo implementa una tecnica anti-rilevamento che tenta di bloccare l'accesso Internet prima dell'installazione del payload, usando una VPN non funzionale. L'obiettivo è impedire il controllo cloud di Google Play Protect. La misura, tuttavia, è parziale: Play Protect mantiene il rilevamento offline, quindi il bypass non è completo.

La distribuzione avviene tramite pagine web che impersonano il Google Play Store, con utenti indirizzati tramite annunci pubblicitari su piattaforme di proprietà di Meta. Le app dropper — categorie shopping, contenuti per adulti, short drama — sono funzionali per non destare sospetti, aumentando la probabilità che l'utente conceda i permessi necessari.

Cosa fare adesso

Per gli utenti Android: non installare mai app bancarie tramite link ricevuti in annunci o messaggi; verificare che l'installazione avvenga esclusivamente dal Google Play Store ufficiale; prestare attenzione a richieste di permesso Accessibility da app non riconosciute; controllare che l'icona e il nome dell'app bancaria corrispondano esattamente all'originale, inclusi dettagli spesso clonati male.

Per le istituzioni finanziarie: trattare come inaffidabili tutti i segnali di integrità generati client-side se l'app può essere sostituita; spostare le verifiche critiche lato server con binding a sessione utente; monitorare anomalie nel pattern di installazione e nell'utilizzo delle API di attestazione; valutare la necessità di canali di comunicazione indipendenti per transazioni ad alto rischio.

Per i team di sicurezza mobile: analizzare la presenza di hooking framework nelle app installate su dispositivi gestiti; implementare rilevamento di comportamento anomalo nel ciclo di vita dell'applicazione; considerare l'uso di attestazione remota che non dipenda esclusivamente da keybox locali.

Per gli operatori di piattaforme pubblicitarie: rafforzare la verifica degli inserzionisti che distribuiscono app finanziarie, con controlli reattivi sui landing page che impersonano store ufficiali.

Perché Hirudo cambia il gioco della sicurezza mobile

La transizione da overlay a sostituzione completa dell'app non è un miglioramento incrementale: è una transizione di paradigma. Finché i trojan operavano al di fuori dell'app bancaria, i controlli di integrità potevano almeno rilevare l'anomalia nel contesto. Quando l'app stessa è l'anomalia, prodotta con codice originale ma comportamento alterato, i segnali locali diventano indistinguibili da quelli leciti.

L'uso di un engine hooking riutilizzabile abbassa la barriera per estendere questa tecnica. Non è più necessario ingegnerizzare una patch bespoke per ogni istituto: YAHFA e Dobby forniscono l'infrastruttura, il resto è adattamento. Questo spiega l'ambizione geografica dell'operazione e la maturità del backend: l'investimento in infrastruttura ripaga se l'engine può essere retargetizzato.

La domanda che Hirudo pone alle banche è più profonda della risposta tecnica immediata. Se la firma, l'attestazione hardware e persino Play Integrity possono essere relayati o falsificati dall'interno dell'app, quale garante rimane valido? La risposta, suggerita dalla stessa ThreatFabric, è che la verifica deve spostarsi sul server e il binding deve essere alla sessione, non al dispositivo. Il perimetro di fiducia si restringe, e il costo della sicurezza si sposta verso l'infrastruttura istituzionale.

Limiti e punti ancora da verificare

Il dossier non specifica il numero esatto di vittime confermate né se le banche target abbiano rilasciato advisory propri ai clienti. Non emergono sovrapposizioni infrastrutturali che colleghino Hirudo a campagne precedenti o gruppi APT noti allo stato attuale. L'origine geografica precisa degli operatori rimane non attribuita. Non è documentato se Google Play Protect abbia aggiornato le firme di rilevamento per i dropper specifici identificati da ThreatFabric.

Fonti

• https://www.bleepingcomputer.com/news/security/hirudo-android-malware-replaces-banking-apps-to-evade-security-checks/
• https://thehackernews.com/2026/10/hirudo-android-trojan-uses-patched.html
• https://www.infosectoday.io/hirudo-android-trojan-uses-patched-banking-apps-to-bypass-their-built-in-security-checks/?doing_wp_cron=1791980627.4870960712432861328125
• https://www.bleepingcomputer.com/
• https://www.bleepingcomputer.com/tutorials/
• https://www.bleepingcomputer.com/download/
• https://deals.bleepingcomputer.com/
• https://www.bleepingcomputer.com/vpn/

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti