# Пост: Ваш мобильный банк — ненастоящий
# Пост: Ваш мобильный банк — ненастоящий Если банковское приложение просит удалить себя и поставить заново — это не забота, а троян Hirudo. ThreatFabric раскопала схему, где вредонос не рисует фишинговое окно поверх банка, а тихо сносит оригинал и ставит на его место клон. Атака начинается с приманки: магазин, сервис коротких видео или контент для взрослых. Приложение реально показывает то, что обещало, а потом предлагает фальшивое обновление и ставит второй APK с Hirudo. Дальше ему нужны разрешения: спецвозможности Android и доступ к уведомлениям. Получив контроль, он находит банковский клиент, сверяет подпись с образцом и запускает штатное удаление. Параллельно скачивает подготовленную копию. Android не даёт поставить её поверх оригинала из-за другой цифровой подписи, поэтому настоящий клиент приходится удалить, а установку замены разрешает сам пользователь. Вот здесь цепочку ещё можно прервать. Клон сохраняет имя пакета и номер версии. Внутри появляется перехват функций на базе YAHFA и Dobby. Он подсовывает банку правильную подпись, скрывает активную службу Accessibility, снимает запрет на захват экрана и вмешивается в проверки Play Integrity. В четырёх изученных копиях запросы Play Integrity уходили на сервер операторов Hirudo. Дальше это уже полноценный RAT: фальшивые формы входа и оплаты, кража паролей и PIN, чтение экрана, перехват секрета блокировки, SMS, удалённый контроль через WebRTC и даже камеры смартфона. В конфигурации перечислены 42 финансовых приложения, но готовые подмены найдены для восьми клиентов семи банков в Индонезии. Почему это важно? Локальные сигналы безопасности больше не гарантия. Банкам стоит проверять Play Integrity на сервере, учитывать отзыв сертификатов аттестации и не считать подпись, Accessibility или запрет скриншотов достаточной защитой. Пользователям Android — не ставить APK из странных источников и не выдавать Accessibility кому попало. --- **Мнение DevGeek.IT** Меня пугает не сам Hirudo, а то, что он использует легальные механизмы Android против самого Android. Удаление оригинала и установка клона выглядят как штатное обновление, и глазом это не отличить. Банки до сих пор часто защищаются локально, а надо переносить проверки на сервер. Если Play Integrity можно обмануть на устройстве, значит, доверять устройству нельзя. Как вы думаете, банкам пора выпускать отдельные аппаратные ключи для клиентов или это перебор? --- #DevGeekIT #Android #ИБ #Hirudo #БанковскийТроян #МобильнаяБезопасность