Jak pozbyć się trojana bankowego Hirudo na Androida

Jakim rodzajem malware jest Hirudo?

Hirudo to trojan bankowy na Androida z funkcjami zdalnego dostępu. Według badań opublikowanych przez zespół Mobile Threat Intelligence firmy ThreatFabric łączy on kradzież danych uwierzytelniających bezpośrednio na urządzeniu ze zdalnym sterowaniem zainfekowanym urządzeniem w czasie rzeczywistym. Hirudo jest rozpowszechniany za pośrednictwem aplikacji-przynęt podszywających się pod aplikacje zakupowe, aplikacje z filmami dla dorosłych lub aplikacje z krótkimi serialami. Potrafi też zastępować prawdziwe aplikacje bankowe zmodyfikowanymi kopiami, które od wewnątrz wyłączają zabezpieczenia stosowane przez same banki.

Przegląd malware Hirudo

Hirudo opiera się na dwuetapowej konstrukcji. Pierwszym etapem jest dropper, rozpowszechniany jako aplikacja-przynęta z kategorii takich jak zakupy (Shopora), filmy dla dorosłych (1V1 X) czy krótkie seriale (ZoyaTV, KoiShort). Aplikacje te ładują prawdziwe treści za pomocą komponentu WebView, dzięki czemu wyglądają na legalne, a ofiara nie ma natychmiastowego powodu do podejrzeń.

Po uruchomieniu dropper po cichu sprawdza, czy ładunek Hirudo jest już zainstalowany. Jeśli nie, wyświetla fałszywy monit o aktualizacji w aplikacji i oferuje instalację pliku APK z ładunkiem jako drugiej aplikacji. Jeden z przeanalizowanych wariantów uruchamia podczas instalacji blokującą sieć VPN (typu blackhole), odcinając ruch internetowy urządzenia, podczas gdy ładunek jest po cichu wdrażany w tle.

Gdy ładunek jest aktywny, może przechwytywać zakupy w aplikacji. Gdy dropper inicjuje płatność, ładunek wyświetla nad nim fałszywą stronę płatności za pomocą przezroczystego komponentu WebView. Strona jest opatrzona logo banku lub e-portfela ofiary i obsługuje osiem języków. Każdy wprowadzony przez ofiarę kod PIN do płatności jest przechwytywany i wysyłany do operatorów, a do droppera zwracany jest sfałszowany komunikat o pomyślnej płatności.

Oprócz oszustw związanych z płatnościami Hirudo zbiera dane logowania do bankowości za pomocą monitów dostosowanych do konkretnych banków, gdy użytkownik je wpisuje. Pełnoekranowa fałszywa nakładka z wzorem przechwytuje wzór odblokowania urządzenia, a w niektórych wersjach ładunek odczytuje kod PIN, hasło lub wzór wprowadzane na prawdziwym ekranie blokady za pośrednictwem usług ułatwień dostępu Androida. Malware umożliwia podgląd ekranu na żywo przez WebRTC i na żądanie aktywuje przedni oraz tylny aparat.

Hirudo przechwytuje również wiadomości SMS, skanując przy pierwszym uruchomieniu historię z 90 dni, a następnie monitorując wiadomości od skonfigurowanych nadawców bankowych i portfelowych. Pozwala mu to kraść hasła jednorazowe używane w uwierzytelnianiu dwuskładnikowym. Malware prowadzi rejestr 42 aplikacji finansowych i posiada specjalnie przygotowane zamienniki ośmiu indonezyjskich aplikacji bankowych obejmujących siedem banków.

Proces podmiany aplikacji bankowej rozpoczyna się, gdy Hirudo wykryje docelową aplikację za pomocą ułatwień dostępu, zweryfikuje jej certyfikat podpisu i wyświetli fałszywy monit o aktualizacji. Następnie otwiera dezinstalator Androida dla oryginalnej aplikacji, nie czekając na potwierdzenie użytkownika, i równolegle pobiera zmodyfikowany zamiennik. Ponieważ Android blokuje instalację aplikacji podpisanej innym kluczem jako aktualizacji, Hirudo musi najpierw usunąć oryginał.

Zmodyfikowany zamiennik zachowuje oryginalną nazwę pakietu i wersję, ale jest podpisany publicznym kluczem testowym Androida. Pojedyncza linia wstrzyknięta do klasy Application aplikacji ładuje samodzielny silnik przechwytywania (hooking) oparty na YAHFA i Dobby - dwóch frameworkach open source służących do podmiany metod Java i przechwytywania funkcji natywnych. Silnik aktywuje się tylko wtedy, gdy na urządzeniu znajduje się plik wyzwalający zapisany przez RAT.

Gdy silnik działa w procesie samej aplikacji bankowej, jej mechanizmy bezpieczeństwa zostają obrócone przeciwko niej. Hook podstawia oryginalny certyfikat podpisu, aby ukryć podpis kluczem testowym, zwraca pustą listę usług ułatwień dostępu, aby kontrolująca usługa była niewidoczna, oraz usuwa flagę blokującą zrzuty ekranu, co pozwala na zdalne oglądanie i nagrywanie ekranu bankowości.

Żądania Play Integrity wysyłane przez zmodyfikowaną aplikację są przekazywane przez niezaszyfrowane HTTP do serwera kontrolowanego przez operatorów, zamiast być obsługiwane lokalnie. Pęk kluczy atestacyjnych (keybox) zawarty w silniku pochodzi z publicznego wycieku, a ThreatFabric potwierdził, że co najmniej dwa z jego certyfikatów figurują na liście unieważnionych certyfikatów atestacyjnych Google jako skompromitowane. Weryfikacja unieważnień po stronie serwera nadal może wykryć te fałszerstwa.

Przynęty Hirudo są dystrybuowane za pośrednictwem Amazon CloudFront, z osobnymi ścieżkami dla każdej rodziny przynęt i dedykowanym hostem dla zmodyfikowanych aplikacji bankowych. Kampania wykorzystuje OpenInstall do atrybucji instalacji i powiązuje oznakowanie przynęt z grupami kampanii za pomocą identyfikatorów Meta Pixel. Panel przetwarzania plików APK używany do przebudowywania przynęt był dostępny bez uwierzytelniania, a zasobniki w chmurze i dane uwierzytelniające pozostawiono odsłonięte.

Podmiana aplikacji bankowych koncentruje się na ośmiu indonezyjskich aplikacjach siedmiu banków, ale skonfigurowany zasięg Hirudo jest szerszy. Cele kradzieży danych uwierzytelniających wymienione w kodzie obejmują Indonezję, Chiny, Indie, Meksyk, Maroko i Tajlandię, a dołączona fałszywa strona płatności zawiera oznakowanie malezyjskich banków i e-portfeli.

Backend przechwycony w sierpniu 2026 r. zawierał tysiące rekordów z danymi uwierzytelniającymi i informacjami o urządzeniach, podzielonych na grupy kampanii. Rekordy obejmowały historię ekranu blokady oraz profile finansowe z polami miesięcznego dochodu i oceny ryzyka. Operatorzy oznaczali niektóre wpisy jako skutecznie wyłudzone, co wskazuje na uporządkowany proces zamiany skradzionych danych na oszukańcze transakcje.

Podsumowując, obecność malware takiego jak Hirudo na urządzeniu może prowadzić do wielu infekcji systemu, poważnych problemów z prywatnością, znacznych strat finansowych i kradzieży tożsamości.

Należy wspomnieć, że twórcy malware często udoskonalają swoje oprogramowanie i metody. Dlatego potencjalne przyszłe wersje Hirudo mogą mieć dodatkowe lub inne funkcje i możliwości.

Przykłady trojanów bankowych na Androida

Hirudo jest godnym uwagi przykładem tego, jak współczesne trojany bankowe na Androida wyewoluowały poza proste ataki z użyciem nakładek, wykorzystując techniki podmiany aplikacji i pełną zdalną kontrolę nad urządzeniem. Inne przykłady trojanów bankowych na Androida to RemControl, Rokarolla i OverlayPhantom.

Złośliwe programy znacznie różnią się konstrukcją i przeznaczeniem. Niezależnie od tego, czy ich celem jest zysk finansowy, kradzież danych osobowych, czy zapewnienie przestępcom stałego zdalnego dostępu do urządzenia, wszystkie takie zagrożenia należy usunąć natychmiast po ich wykryciu.

Jak Hirudo przeniknął do mojego urządzenia?

Hirudo dociera do ofiar za pośrednictwem aplikacji-przynęt, które wyglądają jak legalne platformy zakupowe, z filmami dla dorosłych lub krótkimi serialami. Aplikacje te są rozpowszechniane przez sieci reklamowe i udostępniane za pośrednictwem Amazon CloudFront. ThreatFabric zauważył, że niektóre ścieżki pobierania były nadal aktywne jeszcze w październiku 2026 r.

Po zainstalowaniu aplikacja-przynęta wyświetla fałszywy monit o aktualizacji w aplikacji i instaluje ładunek Hirudo jako drugą aplikację. Użytkownicy powinni zachować ostrożność wobec każdej aplikacji, która żąda instalacji dodatkowych pakietów spoza oficjalnego sklepu Google Play Store.

Ogólnie rzecz biorąc, cyberprzestępcy rozpowszechniają malware wieloma kanałami: za pomocą wiadomości phishingowych, złośliwych reklam, fałszywych monitów o aktualizacji i nieoficjalnych sklepów z aplikacjami. Zachowanie czujności wobec nieoczekiwanych próśb o instalację jest jednym z najskuteczniejszych kroków, jakie użytkownicy mogą podjąć, aby uniknąć infekcji.

Jak uniknąć instalacji malware?

Pobieraj aplikacje wyłącznie z oficjalnego sklepu Google Play Store i zweryfikowanych witryn deweloperów. Zawsze czytaj opinie użytkowników i sprawdzaj uprawnienia, których aplikacja wymaga przed instalacją. Zachowaj szczególną ostrożność wobec aplikacji, które po uruchomieniu proszą o zainstalowanie dodatkowego oprogramowania, ponieważ jest to taktyka powszechnie stosowana przez malware typu dropper.

Aktualizuj system operacyjny Android i wszystkie zainstalowane aplikacje, ponieważ aktualizacje często zawierają poprawki zabezpieczeń usuwające znane luki. Korzystanie z renomowanego oprogramowania zabezpieczającego dla urządzeń mobilnych i regularne skanowanie również zmniejszają ryzyko. Unikaj klikania linków w niechcianych wiadomościach SMS, e-mailach lub postach w mediach społecznościowych, ponieważ mogą one prowadzić do stron udostępniających złośliwe pliki APK.

Fałszywa nakładka płatności Hirudo z oznakowaniem Maybank, umieszczona w sposób przezroczysty nad ekranem zamówienia droppera w celu przechwytywania kodów PIN do płatności (źródło: ThreatFabric):

Szybkie menu:

• Wprowadzenie
• Jak usunąć historię przeglądania z przeglądarki Chrome?
• Jak wyłączyć powiadomienia w przeglądarce Chrome?
• Jak zresetować przeglądarkę Chrome?
• Jak usunąć historię przeglądania z przeglądarki Firefox?
• Jak wyłączyć powiadomienia w przeglądarce Firefox?
• Jak zresetować przeglądarkę Firefox?
• Jak odinstalować potencjalnie niechciane i/lub złośliwe aplikacje?
• Jak uruchomić urządzenie z Androidem w „Trybie awaryjnym”?
• Jak sprawdzić zużycie baterii przez różne aplikacje?
• Jak sprawdzić użycie danych przez różne aplikacje?
• Jak zainstalować najnowsze aktualizacje oprogramowania?
• Jak przywrócić system do stanu domyślnego?
• Jak wyłączyć aplikacje z uprawnieniami administratora?

Usuwanie historii przeglądania z przeglądarki Chrome:

Dotknij przycisku „Menu” (trzy kropki w prawym górnym rogu ekranu) i wybierz „Historia” w otwartym menu rozwijanym.

Dotknij „Wyczyść dane przeglądania”, wybierz kartę „ZAAWANSOWANE”, wybierz zakres czasu i typy danych, które chcesz usunąć, a następnie dotknij „Wyczyść dane”.

[Wróć do Spisu treści]

Wyłączanie powiadomień w przeglądarce Chrome:

Dotknij przycisku „Menu” (trzy kropki w prawym górnym rogu ekranu) i wybierz „Ustawienia” w otwartym menu rozwijanym.

Przewiń w dół, aż zobaczysz opcję „Ustawienia witryn”, i dotknij jej. Przewiń w dół, aż zobaczysz opcję „Powiadomienia”, i dotknij jej.

Znajdź witryny wyświetlające powiadomienia, dotknij ich i kliknij „Wyczyść i zresetuj”. Spowoduje to usunięcie uprawnień do wyświetlania powiadomień przyznanych tym witrynom. Jednak po ponownym odwiedzeniu tej samej witryny może ona ponownie poprosić o uprawnienia. Możesz zdecydować, czy je przyznać (jeśli odmówisz, witryna trafi do sekcji „Zablokowane” i nie będzie już prosić o uprawnienia).

[Wróć do Spisu treści]

Resetowanie przeglądarki Chrome:

Przejdź do „Ustawień”, przewiń w dół, aż zobaczysz „Aplikacje”, i dotknij tej opcji.

Przewiń w dół, aż znajdziesz aplikację „Chrome”, wybierz ją i dotknij opcji „Pamięć”.

Dotknij „ZARZĄDZAJ PAMIĘCIĄ”, a następnie „WYCZYŚĆ WSZYSTKIE DANE” i potwierdź czynność, dotykając „OK”. Pamiętaj, że zresetowanie przeglądarki usunie wszystkie przechowywane w niej dane. Oznacza to, że wszystkie zapisane loginy/hasła, historia przeglądania, niestandardowe ustawienia i inne dane zostaną usunięte. Konieczne będzie również ponowne zalogowanie się do wszystkich witryn.

[Wróć do Spisu treści]

Usuwanie historii przeglądania z przeglądarki Firefox:

Dotknij przycisku „Menu” (trzy kropki w prawym górnym rogu ekranu) i wybierz „Historia” w otwartym menu rozwijanym.

Przewiń w dół, aż zobaczysz „Wyczyść prywatne dane”, i dotknij tej opcji. Wybierz typy danych, które chcesz usunąć, i dotknij „WYCZYŚĆ DANE”.

[Wróć do Spisu treści]

Wyłączanie powiadomień w przeglądarce Firefox:

Odwiedź witrynę wyświetlającą powiadomienia, dotknij ikony wyświetlanej po lewej stronie paska adresu (nie musi to być „Kłódka”) i wybierz „Edytuj ustawienia witryny”.

W otwartym okienku zaznacz opcję „Powiadomienia” i dotknij „WYCZYŚĆ”.

[Wróć do Spisu treści]

Resetowanie przeglądarki Firefox:

Przejdź do „Ustawień”, przewiń w dół, aż zobaczysz „Aplikacje”, i dotknij tej opcji.

Przewiń w dół, aż znajdziesz aplikację „Firefox”, wybierz ją i dotknij opcji „Pamięć”.

Dotknij „WYCZYŚĆ DANE” i potwierdź czynność, dotykając „USUŃ”. Pamiętaj, że zresetowanie przeglądarki usunie wszystkie przechowywane w niej dane. Oznacza to, że wszystkie zapisane loginy/hasła, historia przeglądania, niestandardowe ustawienia i inne dane zostaną usunięte. Konieczne będzie również ponowne zalogowanie się do wszystkich witryn.

[Wróć do Spisu treści]

Odinstalowywanie potencjalnie niechcianych i/lub złośliwych aplikacji:

Przejdź do „Ustawień”, przewiń w dół, aż zobaczysz „Aplikacje”, i dotknij tej opcji.

Przewiń w dół, aż zobaczysz potencjalnie niechcianą i/lub złośliwą aplikację, wybierz ją i dotknij „Odinstaluj”. Jeśli z jakiegoś powodu nie możesz usunąć wybranej aplikacji (np. pojawia się komunikat o błędzie), spróbuj skorzystać z „Trybu awaryjnego”.

[Wróć do Spisu treści]

Uruchamianie urządzenia z Androidem w „Trybie awaryjnym”:

„Tryb awaryjny” w systemie operacyjnym Android tymczasowo blokuje działanie wszystkich aplikacji innych firm. Korzystanie z tego trybu to dobry sposób na diagnozowanie i rozwiązywanie różnych problemów (np. usuwanie złośliwych aplikacji, które uniemożliwiają to użytkownikom, gdy urządzenie działa „normalnie”).

Naciśnij przycisk „Zasilanie” i przytrzymaj go, aż zobaczysz ekran „Wyłącz”. Dotknij ikony „Wyłącz” i przytrzymaj ją. Po kilku sekundach pojawi się opcja „Tryb awaryjny”, którą będzie można uruchomić, restartując urządzenie.

[Wróć do Spisu treści]

Sprawdzanie zużycia baterii przez różne aplikacje:

Przejdź do „Ustawień”, przewiń w dół, aż zobaczysz „Konserwacja urządzenia”, i dotknij tej opcji.

Dotknij „Bateria” i sprawdź zużycie przez poszczególne aplikacje. Legalne/oryginalne aplikacje są projektowane tak, aby zużywały jak najmniej energii, zapewniając najlepsze wrażenia użytkownika i oszczędzając baterię. Dlatego wysokie zużycie baterii może wskazywać, że aplikacja jest złośliwa.

[Wróć do Spisu treści]

Sprawdzanie użycia danych przez różne aplikacje:

Przejdź do „Ustawień”, przewiń w dół, aż zobaczysz „Połączenia”, i dotknij tej opcji.

Przewiń w dół, aż zobaczysz „Użycie danych”, i wybierz tę opcję. Podobnie jak w przypadku baterii, legalne/oryginalne aplikacje są projektowane tak, aby jak najbardziej ograniczać użycie danych. Oznacza to, że bardzo duże użycie danych może wskazywać na obecność złośliwej aplikacji. Pamiętaj, że niektóre złośliwe aplikacje mogą być zaprojektowane tak, aby działały tylko wtedy, gdy urządzenie jest połączone z siecią bezprzewodową. Z tego powodu należy sprawdzić zarówno użycie danych mobilnych, jak i Wi-Fi.

Jeśli znajdziesz aplikację, która zużywa dużo danych, mimo że nigdy z niej nie korzystasz, zdecydowanie zalecamy jak najszybsze jej odinstalowanie.

[Wróć do Spisu treści]

Instalowanie najnowszych aktualizacji oprogramowania:

Utrzymywanie aktualności oprogramowania to dobra praktyka w zakresie bezpieczeństwa urządzenia. Producenci urządzeń stale wydają różne poprawki zabezpieczeń i aktualizacje Androida, aby naprawić błędy, które mogą zostać wykorzystane przez cyberprzestępców. Nieaktualny system jest znacznie bardziej podatny na ataki, dlatego zawsze należy upewniać się, że oprogramowanie urządzenia jest aktualne.

Przejdź do „Ustawień”, przewiń w dół, aż zobaczysz „Aktualizacja oprogramowania”, i dotknij tej opcji.

Dotknij „Pobierz aktualizacje ręcznie” i sprawdź, czy są dostępne jakieś aktualizacje. Jeśli tak, natychmiast je zainstaluj. Zalecamy również włączenie opcji „Pobieraj aktualizacje automatycznie” - pozwoli to systemowi powiadomić Cię o wydaniu aktualizacji i/lub zainstalować ją automatycznie.

[Wróć do Spisu treści]

Przywracanie systemu do stanu domyślnego:

Wykonanie „Przywrócenia ustawień fabrycznych” to dobry sposób na usunięcie wszystkich niechcianych aplikacji, przywrócenie domyślnych ustawień systemu i ogólne wyczyszczenie urządzenia. Należy jednak pamiętać, że wszystkie dane na urządzeniu zostaną usunięte, w tym zdjęcia, pliki wideo/audio, numery telefonów (zapisane w urządzeniu, a nie na karcie SIM), wiadomości SMS itd. Innymi słowy, urządzenie zostanie przywrócone do stanu pierwotnego.

Możesz również przywrócić podstawowe ustawienia systemu i/lub same ustawienia sieciowe.

Przejdź do „Ustawień”, przewiń w dół, aż zobaczysz „Informacje o telefonie”, i dotknij tej opcji.

Przewiń w dół, aż zobaczysz „Resetuj”, i dotknij tej opcji. Teraz wybierz czynność, którą chcesz wykonać:
„Resetuj ustawienia” - przywrócenie wszystkich ustawień systemu do wartości domyślnych;
„Resetuj ustawienia sieciowe” - przywrócenie wszystkich ustawień związanych z siecią do wartości domyślnych;
„Ustawienia fabryczne” - zresetowanie całego systemu i całkowite usunięcie wszystkich zapisanych danych;

[Wróć do Spisu treści]

Wyłączanie aplikacji z uprawnieniami administratora:

Jeśli złośliwa aplikacja uzyska uprawnienia na poziomie administratora, może poważnie uszkodzić system. Aby zapewnić urządzeniu jak największe bezpieczeństwo, należy zawsze sprawdzać, które aplikacje mają takie uprawnienia, i wyłączać te, które nie powinny ich mieć.

Przejdź do „Ustawień”, przewiń w dół, aż zobaczysz „Ekran blokady i zabezpieczenia”, i dotknij tej opcji.

Przewiń w dół, aż zobaczysz „Inne ustawienia zabezpieczeń”, dotknij tej opcji, a następnie dotknij „Aplikacje administratora urządzenia”.

Zidentyfikuj aplikacje, które nie powinny mieć uprawnień administratora, dotknij ich, a następnie dotknij „DEZAKTYWUJ”.

Często zadawane pytania (FAQ)

Moje urządzenie z Androidem jest zainfekowane malware Hirudo. Czy powinienem sformatować pamięć urządzenia, aby się go pozbyć?

Formatowanie rzadko jest konieczne do usunięcia malware. Uruchomienie renomowanego oprogramowania zabezpieczającego dla urządzeń mobilnych, takiego jak Combo Cleaner, powinno wystarczyć do wykrycia i usunięcia Hirudo z urządzenia bez kasowania danych.

Jakie są największe problemy, które może spowodować malware Hirudo?

Hirudo może kraść dane logowania do bankowości, przechwytywać hasła jednorazowe z wiadomości SMS i zastępować oryginalne aplikacje bankowe zmodyfikowanymi kopiami, które od wewnątrz wyłączają ich własne mechanizmy bezpieczeństwa.

Zapewnia również operatorom zdalną kontrolę nad urządzeniem w czasie rzeczywistym, w tym podgląd ekranu i dostęp do aparatu. Ofiarom grożą znaczne straty finansowe, kradzież tożsamości i poważne naruszenia prywatności.

Jaki jest cel malware Hirudo?

Większość ataków malware jest motywowana zyskiem i Hirudo nie jest wyjątkiem. Jego operatorzy utrzymują backend stworzony do zamiany skradzionych danych uwierzytelniających i danych urządzeń na oszukańcze transakcje. Motywacje cyberprzestępców mogą jednak obejmować również haktywizm, osobiste urazy lub cele geopolityczne.

Jak malware Hirudo przeniknął do mojego urządzenia z Androidem?

Hirudo jest najprawdopodobniej instalowany za pośrednictwem aplikacji-przynęty podszywającej się pod platformę zakupową, wideo lub z krótkimi serialami. Po uruchomieniu aplikacje te wyświetlają fałszywy monit o aktualizacji w aplikacji i instalują ładunek Hirudo jako drugą aplikację. Użytkownicy mogą również natknąć się na niego w nieoficjalnych sklepach z aplikacjami lub za pośrednictwem złośliwych reklam.

Czy Combo Cleaner ochroni mnie przed malware?

Combo Cleaner jest w stanie wykryć i wyeliminować zdecydowaną większość znanych infekcji malware. Ponieważ zaawansowane zagrożenia, takie jak Hirudo, głęboko osadzają się w urządzeniu, zdecydowanie zaleca się przeprowadzenie pełnego skanowania systemu, aby zapewnić ich całkowite usunięcie.