Die Android-Malware Hirudo verfolgt einen neuartigen Ansatz, um an Bankzugangsdaten zu gelangen: Statt Banking-Apps nur mit Phishing-Overlays zu überlagern, ersetzt sie die Original-App durch eine manipulierte Version und deaktiviert dabei die eingebauten Sicherheitsmechanismen. Nach einer Analyse des Mobile-Security-Anbieters ThreatFabric können die Angreifer auf diese Weise nicht nur Zugangsdaten abgreifen, sondern infizierte Geräte nahezu vollständig kontrollieren – inklusive Bildschirmaufzeichnung und Mikrofonzugriff.
Was ist die Android-Malware Hirudo?
Hirudo ist ein Android-Banking-Trojaner, der legitime Banking-Apps durch präparierte Kopien ersetzt. Die Kopien behalten den Großteil des Originalcodes, laden aber zusätzlich eine Hooking-Engine, die sicherheitsrelevante Abfragen manipuliert.
ThreatFabric hat die Malware bei Kampagnen gegen mindestens sieben indonesische Banken beobachtet. Weitere Ziele sind Finanzinstitute in China, Indien, Mexiko, Marokko und Thailand. Bisher wurden acht gefälschte Banking-Apps identifiziert, die diese Technik einsetzen.
So verbreitet sich Hirudo
Die Verteilung läuft über scheinbar legitime Anwendungen aus Shopping- und Unterhaltungssegmenten. Konkret nennt die Analyse die Shopping-App Shopora, die Erwachsenen-App 1V1 X sowie die Kurzfilm-Apps ZoyaTV und KoiShort. Alle bieten die versprochene Funktionalität, enthalten aber einen Malware-Loader.
Nach der Installation zeigt der Loader eine gefälschte Update-Benachrichtigung. Führt der Nutzer sie aus, öffnen sich Berechtigungsabfragen, die unter anderem die Erlaubnis zur Nutzung von Accessibility-Diensten verlangen. Diese Berechtigung ist der Schlüssel für den anschließenden App-Austausch.
Der Austausch der Banking-App im Detail
Hirudo startet den Deinstallationsprozess der echten Banking-App, lädt eine gepatchte Kopie von einem Command-and-Control-Server herunter und installiert die manipulierte Version anschließend mithilfe der Accessibility-Berechtigung.
Dieser Schritt ist riskant für die Angreifer: Das Opfer kann den Vorgang an zwei Punkten unterbrechen – etwa wenn die Deinstallationsabfrage erscheint oder die Installation bestätigt werden muss. Die Masche funktioniert also nur, wenn das Opfer die Abläufe unwissentlich bestätigt.
Wie Hirudo Sicherheitsprüfungen aushebelt
Die manipulierte Banking-App enthält fast den gesamten Code der Originalanwendung. Entscheidend ist die integrierte Hooking-Engine, die auf den Open-Source-Frameworks YAHFA und Dobby basiert. Sie läuft innerhalb des App-Prozesses und kann damit die Schutzmechanismen der Banking-Apps umgehen. Die Wirkung beschreibt ThreatFabric so: „Mit der Engine, die im eigenen Prozess der Banking-App läuft, werden die Verteidigungsmechanismen der App gegen sie selbst gewendet.“
Konkret führt die präparierte App folgende Manipulationen aus, sobald sie gestartet wird:
- Sie ersetzt das echte Signaturzertifikat der App bei Abfragen durch ein eigenes, gefälschtes Zertifikat.
- Sie blendet aktivierte Accessibility-Dienste aus, damit sie von der App oder dem System nicht erkannt werden.
- Sie entfernt den Screenshot-Schutz, sodass Bildschirminhalte ausgelesen und aufgezeichnet werden können.
- Sie verändert Key-Attestation-Zertifikate und leitet Play-Integrity-Anfragen über einen Server der Angreifer um, um Integritätsprüfungen zu umgehen.
Diese Taktik zielt auf gehärtete Banking-Apps ab, die Geräte-Integrität und Signaturprüfungen auf dem Gerät selbst durchführen. Da die Hooking-Engine in den Prozess der App integriert ist, laufen die Überprüfungen zwar ab, liefern aber manipulierte Ergebnisse.
Warum die Tarnung nicht perfekt ist
Trotz der ausgefeilten Technik gibt es eine Schwachstelle. Das für die Play-Integrity-Attestierung verwendete Keybox-Material wurde öffentlich geleakt. Google listet zwei der enthaltenen Zertifikate bereits als kompromittiert. Setzen Banken und Google ihre serverseitigen Widerrufsprüfungen konsequent um, können solche Fälschungen erkannt werden, bevor die Malware Schaden anrichtet. Der Angriff ist also nicht vollständig unsichtbar.
Welche Daten Hirudo stiehlt
Ist die manipulierte App erst einmal aktiv, hat sie weitreichende Zugriffe: Hirudo kann Bank-Passwörter, Zahlungs-PINs, Entsperrgeheimnisse des Geräts und SMS-Nachrichten auslesen. Zudem kann die Malware den Bildschirm live an die Betreiber streamen und auf beide Kameras zugreifen.
Ein besonders perfides Detail sind gefälschte Checkout-Seiten innerhalb der Banking-App. Tippt das Opfer dort seine Zahlungs-PIN ein, wird diese abgefangen – während die Malware gleichzeitig eine erfundene Erfolgsmeldung anzeigt, damit der Nutzer keinen Verdacht schöpft.
Für die Angreifer scheint die Kampagne lukrativ zu sein. In einem ungesicherten Backend-Panel von Hirudo fanden die Forscher Tausende von Zugangsdaten sowie Geräte-, Sperrbildschirm- und Finanzprofildaten betroffener Nutzer. Die genaue Zahl der Opfer ist allerdings unbekannt.
Was Banken und Anwender jetzt tun sollten
Hirudo markiert eine bewusste Eskalation: Android-Banking-Trojaner verschieben ihren Fokus zunehmend von Manipulationen auf Geräteebene hin zu Angriffen auf die Sicherheitsmechanismen der Banking-Apps selbst. Banken sollten daher Integritäts- und Attestierungsprüfungen serverseitig validieren und diese Prüfungen an Sitzungs- und Aktionskontexte binden. Auch Verhaltensanalysen und Transaktionsrisikokontrollen bleiben wichtige Verteidigungsinstrumente.
Für Android-Nutzer gelten die üblichen, aber wichtigen Regeln: Geräte regelmäßig aktualisieren, keine APK-Dateien aus inoffiziellen Quellen installieren und Google Play Protect in regelmäßigen Abständen Scans durchführen lassen. Wer eine Aufforderung erhält, eine bereits installierte Banking-App zu aktualisieren oder neu zu installieren, sollte dies besser über den offiziellen App-Store prüfen – nicht über einen Dialog aus einer unbekannten Anwendung.
