正規の銀行アプリを改ざん版へすり替えて内部検証を回避する新種Androidマルウェア「Hirudo」が判明

要点

• オランダのセキュリティ企業ThreatFabricが、正規の銀行アプリを改ざん版へ置き換える新種のAndroidマルウェア「Hirudo」を報告した。

• 改ざん版アプリはフッキング技術を用い、署名検証や画面撮影制限などの自己防衛機能を内側から欺く仕組みを備える。

• ショッピングや動画配信を装うドロッパーアプリ経由で配信され、偽のアップデート案内を通じて本体が侵入する。

• 感染端末では認証情報の窃取や遠隔操作、画面撮影、SMS盗難が可能で、インドネシアの銀行アプリなどが標的となった。

• ペイロード導入前に通信不能なVPNを設定し、クラウドによるセキュリティ検査を妨害する回避策も確認された。

• オランダのモバイルセキュリティ企業ThreatFabricは2026年10月14日、正規の銀行アプリを改ざん版へ差し替えて内部の安全確認を欺く新種のAndroidバンキング型トロイの木馬（正規アプリを装って侵入し金融情報を狙う不正プログラム）「Hirudo」を確認したと発表した。Hirudoは外部からの遠隔操作や情報窃取を行うだけでなく、アプリ自身の防御機能を内側からすり抜ける高度な手口を取り入れている。すでに複数国で被害が確認されているという。

アプリをアンインストールさせて改ざん版へ置き換える手口

Hirudoの最大の特徴は、感染端末に存在する正規の銀行アプリを、攻撃者が用意した改ざん版アプリへすり替える点にある。改ざん版アプリには、処理に割り込んで動作を改変する「フッキング」を行うエンジンが組み込まれており、アプリ内部の安全確認を無力化する。

具体的には、正規の署名証明書を偽装して返すほか、障害者支援などに使われる「ユーザー補助サービス」の監視に対して空のリストを返し、不正な検知を免れる。さらに、画面の撮影や録画を防ぐAndroidの保護設定「FLAG_SECURE」を解除して遠隔での画面閲覧を可能にし、改ざん検証機能「Play Integrity」のチェックも回避する。

すり替えの手順として、Hirudo本体はユーザー補助機能を通じて対象の銀行アプリを特定・照合後、偽のアップデート通知を表示する。そして利用者のタップを待たずに正規アプリのアンインストール画面を自動起動し、並行して改ざん版アプリをダウンロードする。正規アプリを一度削除させる制約はあるものの、あらかじめ用意した応答を返すことでアプリの内部検証を完全にバイパスできる仕組みだ。

正規コンテンツを表示するドロッパーによる侵入

Hirudoの侵入経路となっているのは、ショッピングや成人向け動画、短編ドラマなどの娯楽アプリを装った「ドロッパー」（別の不正プログラムを端末内に運び込む媒介アプリ）である。ThreatFabricは以下の4つのドロッパーアプリを確認したとしている。

• Shopora（パッケージ名: com.agbbh.kjdrttt）
• 1V1 X（パッケージ名: com.onev.vip）
• KoiShort（パッケージ名: com.koishort.app）
• ZoyaTV（パッケージ名: com.zoyatv.app）

これらのおとりアプリは、WebView（アプリ内でWebページを表示する機能）を用いて本物の店舗画面や動画カタログを表示するため、利用者からは正当なアプリに見えるよう作られている。しかし裏ではプロモーション追跡データの収集や設定取得を行い、Hirudo本体の有無を確認する。未導入であれば偽のアップデート通知を出してインストールを促す。なお、Hirudoは別アプリとして導入されるため、悪意ある活動を開始するには個別での権限許可が必要となる。

遠隔操作を含む多機能な攻撃能力と標的地域

ThreatFabricによると、改ざん版アプリへの置き換えはインドネシアの8つの銀行アプリで確認された。一方、認証情報の窃取対象はインドネシアに加え、中国、インド、メキシコ、モロッコ、タイの計6カ国に及ぶ。

Hirudoは端末上の認証情報を盗むだけでなく、外部から端末を遠隔操作できるRATとしての機能を持つ。ThreatFabricの詐欺対策エンジニアリング担当副社長Eward Driehuis氏は、「認証情報の窃取、端末の乗っ取り、画面やカメラのキャプチャ、SMSの窃取を、かなり成熟したバックエンドと組み合わせて展開している」と述べている。おとりアプリの性質に応じて決済PINや銀行口座、電子ウォレットの偽ログイン画面を表示し、端末を完全に掌握するという。

不通のVPNを用いたクラウド検知の回避策

Hirudoは過去に確認されたマルウェア「StreamRat」と同様、検知回避の手法も備える。ペイロード（不正動作を行う本体プログラム）の導入直前に通信不能なダミーのVPN接続を設定し、端末のインターネット通信を一時的に遮断する。

これはGoogle Play Protectなどの防御機能がクラウド連携による検証を行うのを妨害する狙いがあるとみられる。もっとも、Play Protectにはオフライン検知機能もあるため完全に無力化されるわけではない。ThreatFabricは、この手口を完全な突破というより、オンラインでの評判調査やコード解析の効果を低下させる目的で行われていると評価している。