Hirudo-Angriff: Acht App-Ersetzungen zielen auf sieben Banken in Indonesien

Sicherheitsexperten des Unternehmens ThreatFabric haben einen neuartigen Android-Banking-Trojaner namens Hirudo identifiziert. Die Schadsoftware wendet eine besonders aggressive Angriffsmethode an: Sie tauscht legitime Online-Banking-Programme auf dem Mobiltelefon gegen manipulierte Nachbauten aus. Diese gefälschten Kopien tragen denselben Namen sowie dieselbe Versionsnummer wie das Original, sind jedoch mit einer Test-Key-Signatur versehen.

Täuschung über gefälschte Anwendungs-Aktualisierungen

Die Verbreitung von Hirudo erfolgt laut den Sicherheitsanalysten über scheinbar harmlose Anwendungen. Als Köder dienen unter anderem Shopping- sowie Video- und Kurzfilm-Apps wie Shopora, 1V1 X, ZoyaTV und KoiShort.

Das Mobile Threat Intelligence Team beschreibt den Remote Access Trojaner als Werkzeug, das gezielt Zugangsdaten entwendet und die vollständige Kontrolle über infizierte Mobiltelefone übernimmt. Anwender werden innerhalb der Köder-Apps über gefälschte Update-Aufforderungen dazu gebracht, die Schadsoftware als separates Paket nachzuladen.

Wer sich mit der Sicherheit mobiler Anwendungen befasst, sollte die Risiken durch manipulierte Updates und App-Clones kennen. Dieser kostenlose Ratgeber zeigt Ihnen in fünf einfachen Schritten, wie Sie Ihr Gerät wirksam gegen Hacker und Datenmissbrauch absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Nach der Installation missbraucht die Schadsoftware das Android-System auf vielfältige Weise. Hirudo greift auf die Bedienungshilfen des Betriebssystems zu, setzt Hooking-Techniken über YAHFA und Dobby ein und fälscht das Signaturzertifikat.

Um unentdeckt zu bleiben und Daten abzugreifen, leert der Schädling die Liste der Bedienungshilfen und entfernt die Sicherheitsmarkierung FLAG_SECURE, die regulär das Anfertigen von Bildschirmfotos in sensiblen Apps blockiert.

Umfassender Fernzugriff und weltweite Ziele

Die Kriminellen verschaffen sich über Hirudo weitreichende Kontrollmöglichkeiten. Der Trojaner ermöglicht einen Fernzugriff über WebRTC-Bildschirmübertragung, greift auf die Gerätekamera zu und liest SMS sowie eingegebene PINs mit. Zudem leitet er Play-Integrity-Prüfungen an Server der Angreifer weiter. Im Zuge der Untersuchungen wurden eine geleakte Keybox sowie mindestens zwei Zertifikate auf der Widerrufsliste von Google festgestellt.

Backend-Daten aus dem August 2026 belegen das Ausmaß des Schadens: Auf den Servern fanden sich bereits tausende Einträge erbeuteter Anmeldedaten. Hirudo enthält acht vorbereitete Ersetzungen für sieben Bankinstitute in Indonesien. Darüber hinaus zielen die Angreifer auf Kontodaten in China, Indien, Mexiko, Marokko und Thailand ab und nutzen malaysisches Branding bei gefälschten Bezahlvorgängen.

Banking und privater Austausch auf dem Smartphone erfordern ein hohes Maß an digitaler Sicherheit, um nicht Opfer von Ausspähung zu werden. Erfahren Sie in diesem gratis PDF-Report, wie IT-Experten die Sicherheit von WhatsApp, PayPal und Co. durch gezielte Einstellungen erhöhen. Kostenlosen Sicherheits-Ratgeber herunterladen

Wachsende Gefahr durch App-Manipulationen

Die Masche reiht sich in eine Serie von Angriffen ein, bei denen Kriminelle legitime Gerätefunktionen und Update-Mechanismen aushebeln. So entdeckte Zscaler ThreatLabz am 8. Oktober einen neuen Installer der Schadsoftware Anatsa in einem PDF-Reader des Entwicklers Duka Zuri mit über 10.000 Installationen, der ebenfalls Überprüfungen im Play Store durch nachgeladene Aktualisierungen umging.

Sicherheitsexperten weisen darauf hin, dass Finanzinstitute manipulierte Transaktionen oft schwer erkennen, da diese direkt über das vertraute Gerät des Nutzers abgewickelt werden. Anwendern wird dringend geraten, keine manuellen Programm-Aktualisierungen außerhalb der offiziellen Marktplätze zu starten und verdächtige Aufforderungen zur Rechtevergabe in den Bedienungshilfen konsequent abzulehnen.