Hirudo: Android-Malware ersetzt Banking-Apps durch manipulierte Kopien
Veröffentlicht am: 15.10.2026 um 13:30 Uhr | Redaktion boerse-global.de
Sicherheitsforscher des IT-Sicherheitsunternehmens ThreatFabric haben eine neuartige Android-Schadsoftware namens Hirudo identifiziert. Die Schadsoftware verfolgt eine ungewöhnliche Taktik: Anstatt bestehende Finanzanwendungen lediglich zu überlagern, ersetzt sie legitime Banking-Apps vollständig durch manipulierte, modifizierte Kopien. Ziel dieses Vorgehens ist es, integrierte Sicherheitsmechanismen der betroffenen Bankenanwendungen gezielt auszuhebeln.
Ausgefeilte Umgehung von Sicherheitsprüfungen
Wie ThreatFabric in einem Bericht vom 14. Oktober 2026 darlegte, nutzt der Fernzugriffstrojaner (RAT) Bedienungshilfen von Android, um installierte Bankenanwendungen auf dem Gerät aufzuspüren.
Anschließend gleicht das Programm das Signaturzertifikat mit einer internen Referenz ab, blendet eine gefälschte Update-Aufforderung ein und öffnet ohne Zutun der Nutzer einen Deinstallationsdialog für das Original.
Direkt im Anschluss wird eine modifizierte Ersatzversion der jeweiligen Bank geladen und installiert. Diese Ersatzanwendungen sind mit dem allgemein bekannten öffentlichen Android-Test-Key signiert, weshalb die echte Anwendung vorab zwingend deinstalliert werden muss.
Für die Manipulation setzt Hirudo auf eine Hooking-Engine, die auf Frameworks wie YAHFA und Dobby basiert. Damit werden Signaturprüfungen, Erkennungen aktiver Bedienungshilfen, Prüfungen über Play Integrity sowie der Schutzmechanismus FLAG_SECURE und die Bildschirmaufnahme-Erkennung umgangen.
Play-Integrity-Anfragen leitet die Schadsoftware über unverschlüsselte HTTP-Verbindungen an einen von den Angreifern kontrollierten Server weiter. Zudem ist die Keybox der Schlüsselattestierung öffentlich geleakt, wobei mindestens zwei Zertifikate bereits auf Googles Widerrufsliste stehen.
Wer sich mit der Sicherheit seiner mobilen Anwendungen befasst, sollte die grundlegenden Schutzmechanismen seines Geräts kennen. Dieser kostenlose PDF-Ratgeber zeigt Ihnen in 5 einfachen Schritten, wie Sie Ihr Android-Smartphone effektiv gegen Hacker und Datenmissbrauch absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken
Laut ThreatFabric können serverseitige Prüfungen dieser Widerrufe gefälschte Apps identifizieren. Um cloudbasierte Reputationsprüfungen vor der Payload-Installation zu blockieren, richtet Hirudo eine bewusst funktionsunfähige VPN-Verbindung ein. Die Offline-Erkennung durch Google Play Protect bleibt nach Angaben der Analysten jedoch aktiv.
Verbreitungswege und gestohlene Daten
Die Verbreitung erfolgt laut ThreatFabric über vorgeschaltete Hilfsprogramme, sogenannte Dropper-Apps. Dazu zählen Anwendungen wie Shopora (Paketname com.agbbh.kjdrttt), 1V1 X (com.onev.vip), KoiShort (com.koishort.app) und ZoyaTV (com.zoyatv.app). Der eigentliche Schadcode gelangt als separates Installationspaket über In-App-Updates auf das Endgerät.
Zudem leiten gefälschte Werbeanzeigen auf Meta-Plattformen Nutzer auf manipulierte Google-Play-Zielseiten für Einkaufs-, Kurzfilm- und Fußball-Apps. Hirudo wird als eigenständige zweite App installiert und fordert entsprechende Systemberechtigungen an.
Zu den erbeuteten Informationen zählen Bankpasswörter, Zahlungs-PINs, Entsperrmuster, Geheimnummern und SMS-Nachrichten, wobei der SMS-Suchlauf initial für einen Zeitraum von 90 Tagen ansetzt. Die Angreifer können zudem Bildschirminhalte live übertragen, auf Kameras zugreifen und Geräte vollständig fernsteuern.
Angesichts der Risiken durch manipulierte Anwendungen und gefälschte Updates ist ein aktuelles System der beste Eigenschutz. Erfahren Sie in diesem gratis Report, wie Sie Sicherheitslücken schließen und Ihr Android-Gerät durch die richtigen Einstellungen dauerhaft vor Malware schützen. Kostenlosen Sicherheits-Ratgeber herunterladen
Für den Datenabgriff kommen gefälschte Schnittstellen für Logins, Sperrbildschirme und Zahlungs-PINs zum Einsatz. ThreatFabric fand ein ungesichertes Backend-Bedienfeld der Angreifer mit tausenden erbeuteten Zugangsdaten, das neben Kampagnen und Gerätehistorien auch Finanzprofile mit monatlichem Einkommen und Risikobewertungen verwaltet. Die genaue Opferzahl ist bisher unbekannt.
Geografischer Fokus und Abwehrmaßnahmen
Bislang ersetzt Hirudo gezielt acht indonesische Banking-Apps von sieben Instituten. Ein separates internes Verzeichnis führt zudem 42 Finanz-Apps. Zu den Zielregionen für den Diebstahl von Zugangsdaten gehören neben Indonesien auch China, Indien, Mexiko, Marokko und Thailand, ergänzt um gefälschte Bezahlseiten mit Bezug zu Malaysia. Japanische Banken stehen nicht auf der Zielliste.
Die Plattform Threadlinqs stuft Hirudo unter der Kennung TL-2026-3499 mit einem hohen Schweregrad als finanzmotivierte, aktive Bedrohung ein und ordnet dem Schadprogramm 17 MITRE-ATT&CK-Techniken, neun Erkennungsregeln und 30 Indikatoren für eine Kompromittierung zu.
Zu den beobachteten Payloads gehören unter anderem ein Build aus dem Juli (Paketname com.zk7qpx.mv9wlt) sowie eine spätere Version (com.r9nkvx.qw2mpl). Zur Abwehr empfiehlt das Sicherheitsportal Shield53 serverseitige Verhaltensanalysen, Lösungen zur Erkennung mobiler Bedrohungen sowie Beschränkungen über zentrale Mobilgeräteverwaltungen.
Mehr zum Thema bei BleepingComputer: „Hirudo Android malware replaces banking apps to evade security checks“
