新 Android 木馬 Hirudo 偷換正版銀行 App，改裝版瞞過保安檢查

保安公司 ThreatFabric 在 10 月 14 日披露一個新的 Android 銀行木馬 Hirudo。它不再只是在銀行 App 上面疊一層假登入畫面，而是直接刪走手機上的正版銀行 App，換上一個為繞過保安檢查而改過的版本。

由假更新開始

Hirudo 藏在一些看似正常的 App 裡，包括購物 App Shopora、成人內容 App 1V1 X，以及短劇 App ZoyaTV 和 KoiShort。這些 App 照常提供功能，同時彈出假的「更新」通知，引導用戶開放權限，包括無障礙服務。

取得權限後，木馬會啟動正版銀行 App 的解除安裝程序，下載改過的版本，再利用無障礙權限自動安裝。ThreatFabric 指，用戶在過程中有兩次機會中斷。

從 App 內部瞞過檢查

改過的 App 幾乎保留原有的全部程式碼，只是多載入一個以開源框架 YAHFA 和 Dobby 建成的掛鈎引擎，專門應付銀行 App 內建的檢查：

• 銀行查詢簽署證書時，交出原版的證書
• 隱藏手機上已開啟的無障礙服務
• 解除截圖保護，讓黑客可以遙距觀看和錄影
• 修改金鑰認證證書，並把 Google Play Integrity 的檢查請求轉到黑客控制的伺服器

ThreatFabric 形容，Hirudo 代表 Android 銀行木馬應付強化 App 的手法刻意升級。不過木馬內置的認證金鑰早已公開外洩，Google 已把其中兩張證書列為已洩露，銀行若在伺服器端核對撤銷名單，仍可識破偽造。

目標與偷取的資料

ThreatFabric 找到 8 個銀行 App 的改裝版，冒充最少 7 間印尼銀行；木馬亦針對中國、印度、墨西哥、摩洛哥和泰國的金融機構，但目前集中在印尼。

木馬會偷取網上銀行密碼、付款密碼、手機解鎖密碼和短訊，又可即時串流螢幕、開啟前後鏡頭和錄音；它還會彈出假的付款頁面騙取密碼，再顯示一個假的「付款成功」。研究人員亦發現一個沒有設防的後台，存有數以千計的登入資料，以及裝置、鎖屏和財務資料。受害人數暫時未知。

ThreatFabric 建議銀行在伺服器端核實 App 完整性和認證結果，用戶則應避免從非官方商店安裝 APK，並保持系統更新。