NoticiasNews

Hirudo: el troyano bancario para Android que reemplaza apps legítimas por copias parcheadas para evadir sus controlesHirudo: the Android banking trojan that swaps legitimate apps for patched copies to dodge their security checks

2026-10-14

La firma de seguridad móvil ThreatFabric divulgó el 14 de octubre de 2026 el troyano bancario Hirudo para Android, que no se limita a superponer pantallas falsas: sustituye las aplicaciones bancarias legítimas por copias modificadas que se saltan sus propias defensas, según The Hacker News.

Cómo funciona

  • Las copias parcheadas devuelven respuestas elegidas por el atacante: el certificado de firma auténtico, una lista vacía de servicios de accesibilidad activos y un veredicto favorable de Play Integrity, además de quitar la protección FLAG_SECURE para poder grabar la pantalla.
  • Se distribuye con apps cargadoras de categorías como compras, video para adultos y entretenimiento (por ejemplo Shopora, 1V1 X, KoiShort y ZoyaTV), presentadas como una "actualización". Las víctimas llegan por páginas falsas de Google Play promovidas con anuncios en plataformas de Meta.
  • Antes de instalar la carga, configura una VPN deliberadamente inoperante que bloquea internet y dificulta comprobaciones en la nube como las de Google Play Protect; ThreatFabric aclara que Play Protect aún puede detectar sin conexión.
  • Capacidades: robo de credenciales y SMS, captura de pantalla y cámara, superposiciones de PIN y bloqueo, y control remoto en vivo.

Alcance y recomendación

Las cargas de reemplazo apuntan a ocho apps bancarias de Indonesia, y la captura de credenciales abarca además China, India, México, Marruecos y Tailandia. México aparece en la lista, por lo que la región no es ajena. La recomendación de ThreatFabric es tratar las señales generadas por el dispositivo (firma, accesibilidad, integridad) como influenciables por el atacante y verificarlas en el servidor.

Para bancos, fintechs y cooperativas, esto refuerza la necesidad de detección de fraude y trazabilidad del lado del servidor. TEKFENIX desarrolla software a medida con controles server-side, y CumplimientoControl ayuda a mantener registro regulatorio de alertas y casos. Con Servigo365, el equipo de atención puede atender reclamos de clientes afectados por fraude en múltiples canales con seguimiento completo.

Fuente: The Hacker News (14 de octubre de 2026), con hallazgos de ThreatFabric.

Mobile security firm ThreatFabric disclosed the Android banking trojan Hirudo on October 14, 2026. Rather than only drawing fake overlays, it replaces legitimate banking apps with modified copies that bypass their own defenses, The Hacker News reported.

How it works

  • The patched copies return attacker-chosen answers: the genuine signing certificate, an empty list of enabled accessibility services and a favorable Play Integrity verdict, and they strip the FLAG_SECURE protection so screens can be recorded.
  • It spreads through dropper apps in categories such as shopping, adult video and entertainment (for example Shopora, 1V1 X, KoiShort and ZoyaTV), presented as an in-app "update". Victims arrive via fake Google Play pages promoted with ads on Meta platforms.
  • Before installing the payload, it sets up a deliberately non-functional VPN that blocks internet access and hampers cloud-based checks such as Google Play Protect; ThreatFabric notes Play Protect can still detect offline.
  • Capabilities: credential and SMS theft, screen and camera capture, PIN and lock-screen overlays, and live remote control.

Scope and recommendation

The replacement payloads target eight Indonesian banking apps, and credential targeting also spans China, India, Mexico, Morocco and Thailand. Mexico's presence shows Latin America is not immune. ThreatFabric advises treating device-generated signals (signature, accessibility, integrity) as attacker-influenced and verifying them server-side.

For banks, fintechs and credit unions, this reinforces the need for server-side fraud detection and traceability. TEKFENIX builds custom software with server-side controls, and CumplimientoControl helps keep a regulatory record of alerts and cases. With Servigo365, support teams can handle fraud-related customer complaints across channels with full follow-up.

Source: The Hacker News (October 14, 2026), citing ThreatFabric research.

← Volver al blog← Back to blog