BleepingComputer detalha como o Hirudo evade verificações de segurança ao clonar apps bancários
Cobertura complementar da BleepingComputer sobre o trojan Android Hirudo confirma, com citações diretas da ThreatFabric, que o malware lança o desinstalador do próprio app bancário e instala uma cópia adulterada usando a permissão de Acessibilidade. A reportagem detalha ainda como o hooking interno falsifica certificados de atestação e oculta a presença de serviços de acessibilidade para não disparar alarmes do próprio banco.
Esta reportagem reforça o mesmo achado da ThreatFabric já descrito por outros veículos, mas acrescenta um detalhe tático importante: existem dois pontos no fluxo de ataque em que a vítima ainda pode interromper a instalação maliciosa — a confirmação de desinstalação do app original e a confirmação de instalação da versão adulterada. Isso significa que, apesar da sofisticação técnica do malware, a cadeia de infecção ainda depende de interação humana em etapas visíveis, o que torna a conscientização do usuário uma defesa genuinamente eficaz, e não apenas um placebo.
O artigo também reforça o mecanismo de evasão: ao rodar o motor de hooking (YAHFA/Dobby) dentro do próprio processo do app bancário, o Hirudo consegue interceptar e reescrever respostas de chamadas de verificação de segurança — como atestação de chave, status de acessibilidade e proteção contra captura de tela — fazendo o aplicativo "mentir" sobre seu próprio estado de integridade. Tecnicamente, isso é uma escalada em relação a trojans bancários Android anteriores, que normalmente dependiam de overlays (telas falsas sobrepostas) mais fáceis de detectar por soluções de segurança do dispositivo.
Do ponto de vista de resposta a incidentes para bancos, o caso evidencia a necessidade de telemetria do lado do servidor que seja independente do dispositivo: correlacionar login com padrões históricos de geolocalização, horário e comportamento de digitação, e desconfiar de sessões em que o dispositivo "informa" integridade perfeita mas o padrão comportamental muda abruptamente. Times de fraude devem considerar esse vetor — substituição completa do app, não apenas overlay — como um caso de uso a mais na matriz de detecção de device tampering.
Para usuários, a recomendação prática permanece a mesma: jamais seguir prompts de "atualização" de aplicativos bancários que não venham da loja oficial, revisar periodicamente as permissões de Acessibilidade concedidas no aparelho, e, em caso de comportamento anômalo do app (lentidão, crashes, pedidos de permissão fora do padrão), desinstalar e reinstalar diretamente a partir da Play Store/App Store oficial, trocando a senha do banco por um canal seguro conhecido.