Tu app bancaria puede ser falsa: un virus silencioso borra la original y la reemplaza por un clon

El troyano bancario Hirudo cambia la mecánica habitual del phishing móvil: en lugar de una ventana falsa sobre el cliente real, el malware intenta eliminar la aplicación bancaria e instalar una copia modificada. ThreatFabric determinó que para ocho aplicaciones de siete bancos ya existen sustituciones separadas que desactivan las comprobaciones de seguridad desde dentro.

El ataque comienza con un señuelo funcional que se hace pasar por una tienda, un servicio de vídeos cortos o contenido para adultos. La aplicación realmente muestra el contenido anunciado, pero luego ofrece una falsa «actualización» e instala un segundo APK con Hirudo. Para continuar, el troyano necesita permisos concedidos por el usuario, incluidas funciones especiales de Android y el acceso a las notificaciones.

Tras obtener el control, Hirudo localiza el cliente bancario instalado, compara la firma con una muestra guardada y lanza la ventana estándar de desinstalación. Paralelamente, el malware descarga la copia preparada. Android no permite instalarla sobre el original debido a una firma digital distinta, por lo que es necesario eliminar el cliente real y el usuario debe autorizar la instalación de la sustitución. La cadena de ataque puede interrumpirse.

La aplicación suplantada conserva el nombre de paquete y el número de versión originales, pero en su interior aparece un mecanismo de intercepción de funciones basado en YAHFA y Dobby. Este entrega al cliente bancario la firma correcta, oculta el servicio activo de Accessibility, elimina la restricción de captura de pantalla e interviene en las comprobaciones de Play Integrity. En cuatro copias analizadas, las solicitudes de Play Integrity se enviaban al servidor de los operadores de Hirudo.

Las funciones de RAT no se limitan a la suplantación bancaria. Hirudo muestra formularios falsos de acceso y de pago, roba contraseñas y PIN, lee la pantalla, intercepta el secreto de desbloqueo del dispositivo, recibe SMS y soporta control remoto a través de WebRTC. El primer escaneo de mensajes abarca hasta 90 días, y los operadores pueden activar las cámaras frontal y trasera del smartphone.

En la configuración de Hirudo se enumeran 42 aplicaciones financieras, aunque ThreatFabric encontró sustituciones listas solo para ocho clientes bancarios en Indonesia. En el código aparecen objetivos de China, India, México, Marruecos y Tailandia, y la página falsa de pago utiliza la marca de bancos y monederos de Malasia. Parte de los canales de descarga del APK malicioso seguían disponibles en octubre de 2026.

Los datos del servidor obtenidos por ThreatFabric en agosto contenían miles de registros con credenciales de aplicaciones, información de dispositivos, historial de códigos de bloqueo y perfiles financieros. Para los bancos, la empresa recomienda verificar Play Integrity en el servidor, tener en cuenta la revocación de certificados de atestación y no considerar las señales locales sobre la firma, Accessibility o la prohibición de capturas de pantalla como protección suficiente.