„Die Operation kombiniert Diebstahl von Zugangsdaten, Geräteübernahme, Bildschirm- und Kameraaufzeichnung sowie SMS-Diebstahl mit einem recht ausgereiften Backend", erklärte Eward Driehuis, Vice President of Fraud Engineering bei ThreatFabric. Hirudo ermöglicht sowohl den Diebstahl von Anmeldedaten direkt auf dem Gerät als auch eine Live-Fernsteuerung.
Ausgeliefert wird der Trojaner über Dropper-Apps aus den Bereichen Shopping, Erwachsenenvideos und Unterhaltung, die den Schadcode als separates Installationspaket mitbringen und ihn anschließend als vermeintliches In-App-Update ausspielen. Zu den beobachteten Dropper-Apps zählen:
- Shopora (com.agbbh.kjdrttt)
- 1V1 X (com.onev.vip)
- KoiShort (com.koishort.app)
- ZoyaTV (com.zoyatv.app)
„Der Köder ist funktionsfähig und lädt echte Inhalte in einem WebView, einen Shop, einen Videokatalog oder Kurzdramen, sodass die Nutzung legitim wirkt", so ThreatFabric. Hinter diesen Inhalten laufe im Dropper eine feste Startroutine ab: Er sammle Daten zur Werbe-Nachverfolgung, rufe seine Kampagnenkonfiguration ab und prüfe, ob die Nutzlast — der Hirudo-RAT — bereits installiert sei und über aktivierten Bedienungshilfen-Dienst sowie Benachrichtigungszugriff verfüge.
Ist das nicht der Fall, zeigt der Dropper eine gefälschte In-App-Update-Aufforderung, um die Installation anzustoßen. Hirudo wird dabei als zweite, eigenständige App installiert und muss eigene Berechtigungen erhalten, bevor es schädliche Aktivitäten ausführen kann.
Wie bereits bei StreamRat beobachtet, setzt die Schadsoftware auf eine Technik zur Erkennungsvermeidung: Vor der Installation der Nutzlast blockiert sie den Internetzugang, indem sie eine absichtlich funktionsunfähige VPN-Verbindung einrichtet. Damit sollen andere Apps und Dienste wie Google Play Protect daran gehindert werden, cloudbasierte Prüfungen der Nutzlast durchzuführen. „Play Protect bietet jedoch auch eine Offline-Erkennung für bekannte potenziell schädliche Anwendungen, das heißt, der Mechanismus deaktiviert den Schutz nicht vollständig", hatte ThreatFabric im vergangenen Monat festgehalten. Man gehe daher davon aus, dass die Technik eher die Wirksamkeit von Online-Reputations- und Code-Analyse-Mechanismen verringern solle, als Play Protect vollständig zu umgehen.
Je nach eingesetzter Köder-App blendet der Dropper gefälschte Oberflächen ein, um Zahlungs-PINs abzufangen, Anmeldedaten für Bank- und Wallet-Apps zu erfragen oder falsche Sperrbildschirm-Overlays mit Muster- und PIN-Abfrage anzuzeigen; zudem ermöglicht er die vollständige Fernsteuerung des Geräts.
Während dieses Verhalten für Android-Banking-Trojaner typisch ist, sticht der Austausch der Ziel-App gegen eine manipulierte Kopie hervor. „Dafür erkennt der RAT die installierte Banking-App über die Bedienungshilfen, gleicht deren Signaturzertifikat mit einer hinterlegten Referenz ab und zeigt dann eine gefälschte ‚Update‘-Aufforderung", erläuterte ThreatFabric. „Er öffnet Androids Deinstallationsdialog für die echte App, ohne auf eine Nutzerinteraktion zu warten, und lädt parallel die bankspezifische Ersatzversion herunter."
Dass die Original-App vor der Installation der nahezu identischen Schadkopie entfernt werden muss, bezeichnen die Forscher als echte Einschränkung. Zugleich erlaube der Mechanismus, die Sicherheitsprüfungen der Banking-App zu umgehen, indem vom Angreifer vorbereitete Antworten zurückgegeben werden. Dazu gehören die Ausgabe des echten App-Signaturzertifikats, eine leere Liste bei der Abfrage aktivierter Bedienungshilfen-Dienste sowie das Entfernen des Flags FLAG_SECURE, sodass sich die Bildschirminhalte aus der Ferne betrachten und aufzeichnen lassen.
„Zertifikate der Schlüsselattestierung werden mit einer mitgelieferten Keybox neu signiert, und Play-Integrity-Anfragen werden über unverschlüsseltes HTTP an einen vom Betreiber kontrollierten Server weitergeleitet, der ein Urteil zurückgibt, das die App akzeptiert", so das Unternehmen. Zwei Punkte seien für Verteidiger besonders hervorzuheben: Erstens stamme die mitgelieferte Attestierungs-Keybox nicht von den Betreibern selbst, sondern sei eine öffentlich geleakte Keybox. Zweitens sei eine gültige Integrity-Antwort allein kein Beleg für eine unmanipulierte App, da die Anfrage lediglich weitergeleitet und nicht tatsächlich erzeugt werde.
Hinweise deuten darauf hin, dass die Schadsoftware über gefälschte Webseiten verbreitet wird, die sich als Play-Store-Landingpages für Shopping-, Kurzdrama- und Fußball-Apps ausgeben. Nutzer werden den Einschätzungen zufolge über Anzeigen auf den sozialen Plattformen des Meta-Konzerns auf diese Seiten geleitet.
Die gesamte Operation stützt sich auf ein Backend, das Gerätesteuerung mit der Verwaltung verschiedener Kampagnen und gestohlener Daten verbindet — darunter Geräteeinträge, Sperrbildschirm-Historien und finanzielle Profile mit Feldern für monatliches Einkommen und Risikobewertung.
„Hirudo markiert eine bewusste Eskalation in der Art, wie Android-Banker gehärtete Anwendungen angehen", resümiert ThreatFabric. Indem die Manipulation in die Ziel-App selbst verlagert werde, verschiebe sich der Wettstreit vom Gerät auf die Integritätsprüfungen der Anwendung und von einem maßgeschneiderten Patch zu einer wiederverwendbaren Engine, die sich auf andere Apps und Regionen umlenken lasse. „Sobald eine App ersetzt werden kann, müssen ihre lokal erzeugten Signale — Signatur, Liste der Bedienungshilfen und Integritätsurteil — als vom Angreifer beeinflusst betrachtet und serverseitig überprüft werden", so die Forscher.
Die Erkenntnisse folgten gut einen Monat auf die Veröffentlichung desselben Unternehmens zu StreamRat, das spanischsprachige Nutzer über Werbung auf Meta-Plattformen und TikTok ins Visier nahm und dabei einen kostenlosen TV-Streamingdienst namens Streamtv Esp imitierte, um Kontrolle über kompromittierte Android-Geräte zu erlangen. „StreamRat missbraucht Bedienungshilfen-Dienste und MediaProjection, um Betreibern nahezu vollständige Kontrolle über infizierte Geräte zu verschaffen, und kombiniert VNC- und Hidden-Screen-Steuerung, Erfassung des UI-Baums, Keylogging, Overlays zum Abgreifen von Zugangsdaten sowie Funktionen zum Blockieren von Internet und Bildschirm", hatte ThreatFabric dazu erklärt.