در گزارش‌های امنیتی جدید منتشر شده در پاییز ۱۴۰۳، محققان بدافزاری تحت عنوان Hirudo را شناسایی کرده‌اند که با بهره‌گیری از تکنیک‌های پیچیده «جایگزینی اپلیکیشن» (Application Replacement)، امنیت تراکنش‌های مالی کاربران اندروید را هدف قرار داده است. این بدافزار با نفوذ به دستگاه، نسخه‌های قانونی برنامه‌های بانکی را با نمونه‌های مخرب جایگزین می‌کند تا ضمن دور زدن پروتکل‌های امنیتی، اطلاعات حساس کاربران را به سرقت ببرد.
مکانیسم عملکرد بدافزار Hirudo در سطح سیستم‌عامل
بدافزار Hirudo صرفاً یک کی‌لاگر ساده نیست؛ بلکه با استفاده از دسترسی‌های سطح بالای اندروید، فرآیند مخربی را آغاز می‌کند که در آن ابتدا اپلیکیشن‌های اصلی بانک شناسایی شده و سپس با بهره‌گیری از آسیب‌پذیری‌های موجود یا فریب کاربر برای اعطای دسترسی‌های غیرمتعارف (Accessibility Services)، اقدام به حذف نسخه اصلی و نصب نسخه مهندسی معکوس شده می‌کند. این نسخه‌های اصلاح‌شده فاقد کنترل‌های امنیتی مانند «احراز هویت دو مرحله‌ای سخت‌گیرانه» بوده و مستقیماً داده‌های اعتباری را به سرورهای فرماندهی و کنترل (C2) مهاجم ارسال می‌کنند.
تکنیک‌های دور زدن پروتکل‌های امنیتی (Evasion)
یکی از ویژگی‌های کلیدی Hirudo، توانایی آن در غیرفعال کردن چک‌سومت‌های امنیتی (Security Checks) است که اپلیکیشن‌های بانکی معمولاً برای تشخیص Root بودن دستگاه یا فعال بودن برنامه‌های مخرب استفاده می‌کنند. مهاجمان با تغییر کدهای داخلی (Smali Code Injection)، بررسی‌های زمان اجرا (Runtime Integrity Checks) را خنثی می‌کنند. این امر باعث می‌شود که حتی در صورت فعال بودن آنتی‌ویروس‌های سطح پایین، بدافزار همچنان به عنوان یک نرم‌افزار معتبر و امضاشده توسط کاربر شناخته شود.
تأثیرات بر ساختار امنیت مالی و حریم خصوصی
از منظر معماری، این بدافزار با مداخله در فرآیند Overlay، لایه‌های امنیتی اپلیکیشن‌های مالی را فریب می‌دهد. هنگامی که کاربر سعی می‌کند وارد حساب کاربری خود شود، Hirudo پنجره‌های جعلی (Fake Phishing Overlays) را روی رابط کاربری اصلی نمایش می‌دهد که تشخیص آن برای کاربران غیرمتخصص بسیار دشوار است. این رویکرد به مهاجم اجازه می‌دهد تا علاوه بر نام کاربری و رمز عبور، کدهای یک‌بار مصرف (OTP) ارسالی از سمت بانک را نیز سرقت کند.
ویژگی‌های فنی بدافزار Hirudo
- نوع حمله: جایگزینی اپلیکیشن و سرقت داده (Credential Stealing)
- روش نفوذ: بهره‌گیری از Accessibility Services
- پلتفرم هدف: سیستم‌عامل اندروید (نسخه‌های ۱۰ تا ۱۴)
- قابلیت‌های C2: ارتباط رمزنگاری شده با سرورهای مخرب برای انتقال داده
- متدولوژی دور زدن: مهندسی معکوس و حذف Integrity Checks
راهکارهای مقابله و ارتقای امنیت دستگاه
برای کاهش ریسک آلودگی به بدافزارهای مشابه Hirudo، کاربران باید از نصب برنامه‌ها از منابع غیررسمی (Side-loading) به طور جدی خودداری کنند. فعال‌سازی قابلیت Google Play Protect در تنظیمات امنیتی اندروید و بازبینی دوره‌ای دسترسی‌های ارائه‌شده به اپلیکیشن‌ها در بخش Accessibility، اولین خط دفاعی در برابر این تهدیدات است. توسعه‌دهندگان اپلیکیشن‌های بانکی نیز باید پیاده‌سازی متدهای پیشرفته تشخیص تغییرات در امضای دیجیتال و سخت کردن کدهای برنامه (Code Obfuscation) را در اولویت قرار دهند.
