Malware Hirudo: Nova Ameaça no Android Substitui Apps Bancários para Burlar Defesas

O malware Hirudo representa uma escalada nas táticas de ataques a dispositivos Android, mirando credenciais bancárias com uma abordagem que vai além das sobreposições de tela já conhecidas. Ele age substituindo o aplicativo bancário legítimo por uma versão modificada, que incorpora um hooking engine baseado em frameworks de código aberto como YAHFA e Dobby. Essa engenharia permite ao Hirudo burlar verificações de segurança cruciais, como a assinatura do aplicativo, as permissões de Acessibilidade e as validações do Play Integrity. Ele consegue isso ao substituir informações de certificado, ocultar serviços de Acessibilidade ativos, remover a proteção contra capturas de tela e manipular requisições do Play Integrity.

Este modus operandi é particularmente insidioso porque o malware não apenas falsifica a interface, mas de fato compromete a integridade do próprio aplicativo bancário instalado. Os atores maliciosos ganham controle remoto sobre o telefone infectado, conseguem coletar mensagens, fazer capturas de tela e gravar áudio, tudo isso enquanto o usuário pensa que está interagindo com seu aplicativo bancário original. A distribuição inicial acontece via apps de compras, entretenimento adulto ou minisséries, que funcionam como carregadores para o Hirudo, induzindo o usuário a conceder permissões de Acessibilidade sob o pretexto de uma atualização.

A grande mudança com o Hirudo é o foco na subversão das defesas internas dos aplicativos bancários, em vez de apenas enganar o usuário com sobreposições ou atacar a integridade do sistema operacional. Malwares anteriores, como o ToxicPanda 2.0 (coberto pelo CEVIU em 21 de agosto de 2026) e o BeatBanker (noticiado em 13 de março de 2026), utilizavam predominantemente a técnica de overlay para roubar credenciais. O Hirudo, por outro lado, desinstala o app original e instala uma versão adulterada que desativa as checagens de segurança dentro do próprio aplicativo legítimo. Isso marca uma evolução, direcionando o ataque para os mecanismos de segurança construídos nos próprios apps bancários, e não apenas para as verificações em nível de dispositivo.

A ascensão do Hirudo demonstra que os desenvolvedores de malware estão cada vez mais sofisticados, mirando as defesas mais robustas dos aplicativos bancários. Para as instituições financeiras, isso significa que a validação de integridade e atestação precisa ser feita no lado do servidor, vinculada a sessões e ações protegidas, além de manter controles de risco comportamentais e transacionais. Para o usuário final, a vigilância é crucial: evitar a instalação de APKs de fontes não oficiais, manter o sistema operacional e aplicativos atualizados, e executar verificações periódicas do Play Protect. A concessão indiscriminada de permissões de Acessibilidade, mesmo para aplicativos aparentemente inofensivos, tornou-se um vetor de ataque ainda mais perigoso.