Come sbarazzarsi del trojan bancario Hirudo per Android

Che tipo di malware è Hirudo?

Hirudo è un trojan bancario per Android con funzionalità di accesso remoto. Secondo una ricerca pubblicata dal team Mobile Threat Intelligence di ThreatFabric, combina il furto di credenziali sul dispositivo con il controllo remoto in tempo reale del dispositivo infetto. Hirudo viene distribuito tramite app esca camuffate da applicazioni di shopping, video per adulti o brevi serie drammatiche, e può sostituire le app bancarie autentiche con copie modificate che disattivano dall'interno i controlli di sicurezza delle banche stesse.

Panoramica del malware Hirudo

Hirudo è basato su un'architettura a due stadi. Il primo stadio è un dropper, confezionato come app esca in categorie come lo shopping (Shopora), i video per adulti (1V1 X) o le mini-serie drammatiche (ZoyaTV, KoiShort). Queste app caricano contenuti reali tramite una WebView, perciò l'esperienza appare legittima e la vittima non ha motivi immediati per sospettare.

Quando il dropper viene eseguito, verifica silenziosamente se il payload di Hirudo è già installato. In caso contrario, mostra un falso avviso di aggiornamento all'interno dell'app e propone l'installazione dell'APK del payload come seconda app. Una delle varianti analizzate attiva una VPN «blackhole» durante l'installazione, interrompendo il traffico Internet del dispositivo mentre il payload viene distribuito silenziosamente in background.

Una volta attivo, il payload può intercettare gli acquisti in-app. Quando il dropper avvia un pagamento, il payload visualizza sopra di esso una falsa pagina di pagamento utilizzando una WebView trasparente. La pagina riporta il marchio della banca o del portafoglio elettronico della vittima e supporta otto lingue. Qualsiasi PIN di pagamento inserito dalla vittima viene acquisito e inviato agli operatori, mentre al dropper viene restituito un falso messaggio di pagamento riuscito.

Oltre alle frodi sui pagamenti, Hirudo raccoglie le credenziali di accesso bancarie tramite richieste specifiche per ciascuna banca mentre l'utente digita. Un falso overlay a schermo intero con la sequenza di sblocco acquisisce la sequenza di sblocco del dispositivo e, in alcune build, il payload legge il PIN, la password o la sequenza inseriti nella vera schermata di blocco tramite i Servizi di accessibilità di Android. Il malware consente la visualizzazione dello schermo in tempo reale tramite WebRTC e attiva su richiesta le fotocamere anteriore e posteriore.

Hirudo intercetta inoltre i messaggi SMS, analizzando 90 giorni di cronologia alla prima esecuzione e monitorando successivamente i mittenti di banche e portafogli configurati. Ciò gli consente di rubare le password monouso utilizzate nell'autenticazione a due fattori. Il malware mantiene un registro di 42 app finanziarie e dispone di sostituti appositamente realizzati per otto app bancarie indonesiane relative a sette banche.

Il processo di sostituzione delle app bancarie inizia quando Hirudo rileva un'app bersaglio tramite l'Accessibilità, ne verifica il certificato di firma e mostra un falso avviso di aggiornamento. Successivamente apre il programma di disinstallazione di Android per l'app autentica senza attendere la conferma dell'utente e scarica in parallelo il sostituto modificato. Poiché Android impedisce di installare come aggiornamento un'app firmata in modo diverso, Hirudo deve prima rimuovere l'originale.

Il sostituto modificato mantiene il nome del pacchetto e la versione originali, ma è firmato con una chiave di test pubblica di Android. Una singola riga iniettata nella classe Application dell'app carica un motore di hooking autonomo basato su YAHFA e Dobby, due framework open source per sostituire metodi Java e intercettare funzioni native. Il motore si attiva solo quando sul dispositivo è presente un file di attivazione scritto dal RAT.

Con il motore in esecuzione all'interno del processo stesso dell'app bancaria, i controlli di sicurezza dell'app vengono rivolti contro di essa. L'hook sostituisce il certificato di firma autentico per nascondere la firma con la chiave di test, restituisce un elenco vuoto di servizi di accessibilità in modo che il servizio di controllo risulti invisibile e rimuove il flag che blocca gli screenshot, consentendo di visualizzare e registrare da remoto la schermata bancaria.

Le richieste Play Integrity provenienti dall'app modificata vengono inoltrate tramite HTTP non cifrato a un server controllato dagli operatori, anziché ricevere risposta in locale. Il keybox di attestazione incluso nel motore è stato diffuso pubblicamente e ThreatFabric ha confermato che almeno due dei suoi certificati compaiono nell'elenco di revoca delle attestazioni di Google come compromessi. I controlli di revoca lato server sono quindi ancora in grado di rilevarne le falsificazioni.

Le esche di Hirudo vengono distribuite tramite Amazon CloudFront, con percorsi separati per ciascuna famiglia di esche e un host dedicato alle app bancarie modificate. La campagna utilizza OpenInstall per l'attribuzione delle installazioni e collega il marchio delle esche ai gruppi della campagna tramite gli ID di Meta Pixel. Un pannello di elaborazione degli APK utilizzato per ricostruire le esche era accessibile senza autenticazione, con bucket di archiviazione cloud e credenziali lasciati esposti.

Le sostituzioni delle app bancarie riguardano otto app indonesiane di sette banche, ma l'ambito configurato di Hirudo è più ampio. Gli obiettivi delle credenziali indicati nel codice comprendono Indonesia, Cina, India, Messico, Marocco e Thailandia, e la falsa pagina di pagamento inclusa riporta il marchio di banche e portafogli elettronici malesi.

Un backend acquisito nell'agosto 2026 conteneva migliaia di record di credenziali e dispositivi suddivisi tra i gruppi della campagna. I record includevano la cronologia della schermata di blocco e profili finanziari con campi relativi al reddito mensile e al punteggio di rischio. Gli operatori avevano annotato alcune voci come oggetto di phishing riuscito, il che indica un flusso di lavoro strutturato per convertire i dati rubati in transazioni fraudolente.

In sintesi, la presenza di malware come Hirudo su un dispositivo può causare molteplici infezioni del sistema, gravi problemi di privacy, perdite finanziarie significative e furto d'identità.

Va menzionato che gli sviluppatori di malware migliorano spesso i propri software e le proprie metodologie. Pertanto, eventuali future versioni di Hirudo potrebbero avere funzionalità e caratteristiche aggiuntive o diverse.

Esempi di trojan bancari per Android

Hirudo è un esempio significativo di come i moderni trojan bancari per Android si siano evoluti oltre i semplici attacchi tramite overlay, integrando tecniche di sostituzione delle app e il pieno controllo remoto del dispositivo. Altri esempi di trojan bancari per Android sono RemControl, Rokarolla e OverlayPhantom.

I programmi dannosi variano notevolmente per struttura e scopo. Che mirino a ottenere un guadagno economico, a rubare dati personali o a garantire ai criminali un accesso remoto persistente a un dispositivo, tutte queste minacce devono essere rimosse non appena vengono individuate.

In che modo Hirudo si è infiltrato nel mio dispositivo?

Hirudo raggiunge le vittime tramite app esca che sembrano piattaforme legittime di shopping, video per adulti o mini-serie drammatiche. Queste app vengono distribuite tramite reti pubblicitarie e servite attraverso Amazon CloudFront. ThreatFabric ha osservato che alcuni percorsi di download erano ancora attivi fino a ottobre 2026.

Dopo l'installazione, l'app esca mostra un falso avviso di aggiornamento in-app e installa il payload di Hirudo come seconda applicazione. Gli utenti dovrebbero diffidare di qualsiasi app che richieda l'installazione di pacchetti aggiuntivi al di fuori del Google Play Store ufficiale.

Più in generale, i criminali informatici distribuiscono malware attraverso numerosi canali: messaggi di phishing, pubblicità dannose, falsi avvisi di aggiornamento e app store non ufficiali. Prestare attenzione alle richieste di installazione inattese è una delle misure più efficaci che gli utenti possono adottare per evitare le infezioni.

Come evitare l'installazione di malware?

Scarichi le app solo dal Google Play Store ufficiale e da siti web di sviluppatori verificati. Legga sempre le recensioni degli utenti e controlli le autorizzazioni richieste da un'app prima di installarla. Diffidi in particolare di qualsiasi app che, dopo l'avvio, le chieda di installare software aggiuntivo, poiché si tratta di una tattica comunemente utilizzata dai malware di tipo dropper.

Mantenga aggiornati il sistema operativo Android e tutte le app installate, poiché gli aggiornamenti includono spesso patch di sicurezza che risolvono vulnerabilità note. Anche l'utilizzo di un software di sicurezza mobile affidabile e l'esecuzione di scansioni regolari riducono il rischio. Eviti di fare clic sui link contenuti in SMS, email o post sui social media non richiesti, poiché possono condurre a pagine che distribuiscono APK dannosi.

Overlay di pagamento falso di Hirudo, mostrato con il marchio Maybank, posizionato in modo trasparente sopra la schermata dell'ordine del dropper per acquisire i PIN di pagamento (fonte: ThreatFabric):

Menu rapido:

• Introduzione
• Come eliminare la cronologia di navigazione dal browser Chrome?
• Come disattivare le notifiche del browser in Chrome?
• Come ripristinare il browser Chrome?
• Come eliminare la cronologia di navigazione dal browser Firefox?
• Come disattivare le notifiche del browser in Firefox?
• Come ripristinare il browser Firefox?
• Come disinstallare le applicazioni potenzialmente indesiderate e/o dannose?
• Come avviare il dispositivo Android in «Modalità provvisoria»?
• Come controllare il consumo della batteria delle varie applicazioni?
• Come controllare l'utilizzo dei dati delle varie applicazioni?
• Come installare gli ultimi aggiornamenti software?
• Come ripristinare il sistema allo stato predefinito?
• Come disattivare le applicazioni con privilegi di amministratore?

Eliminare la cronologia di navigazione dal browser Chrome:

Tocchi il pulsante «Menu» (tre puntini nell'angolo in alto a destra dello schermo) e selezioni «Cronologia» nel menu a discesa che si apre.

Tocchi «Cancella dati di navigazione», selezioni la scheda «AVANZATE», scelga l'intervallo di tempo e i tipi di dati che desidera eliminare e tocchi «Cancella dati».

[Torna al Sommario]

Disattivare le notifiche del browser in Chrome:

Tocchi il pulsante «Menu» (tre puntini nell'angolo in alto a destra dello schermo) e selezioni «Impostazioni» nel menu a discesa che si apre.

Scorra verso il basso fino a visualizzare l'opzione «Impostazioni sito» e la tocchi. Scorra verso il basso fino a visualizzare l'opzione «Notifiche» e la tocchi.

Individui i siti web che inviano notifiche del browser, li tocchi e faccia clic su «Cancella e reimposta». In questo modo verranno rimosse le autorizzazioni concesse a questi siti web per l'invio di notifiche. Tuttavia, quando visiterà nuovamente lo stesso sito, questo potrebbe chiederle di nuovo l'autorizzazione. Potrà scegliere se concedere o meno queste autorizzazioni (se sceglie di rifiutare, il sito web verrà spostato nella sezione «Bloccati» e non le chiederà più l'autorizzazione).

[Torna al Sommario]

Ripristinare il browser Chrome:

Vada su «Impostazioni», scorra verso il basso fino a visualizzare «App» e lo tocchi.

Scorra verso il basso fino a trovare l'applicazione «Chrome», la selezioni e tocchi l'opzione «Archiviazione».

Tocchi «GESTISCI ARCHIVIAZIONE», quindi «CANCELLA TUTTI I DATI» e confermi l'azione toccando «OK». Tenga presente che il ripristino del browser eliminerà tutti i dati in esso memorizzati. Ciò significa che verranno eliminati tutti gli accessi/le password salvati, la cronologia di navigazione, le impostazioni non predefinite e altri dati. Dovrà inoltre effettuare nuovamente l'accesso a tutti i siti web.

[Torna al Sommario]

Eliminare la cronologia di navigazione dal browser Firefox:

Tocchi il pulsante «Menu» (tre puntini nell'angolo in alto a destra dello schermo) e selezioni «Cronologia» nel menu a discesa che si apre.

Scorra verso il basso fino a visualizzare «Cancella dati personali» e lo tocchi. Selezioni i tipi di dati che desidera rimuovere e tocchi «CANCELLA DATI».

[Torna al Sommario]

Disattivare le notifiche del browser in Firefox:

Visiti il sito web che invia le notifiche del browser, tocchi l'icona visualizzata a sinistra della barra degli URL (l'icona non sarà necessariamente un «Lucchetto») e selezioni «Modifica impostazioni sito».

Nel pop-up che si apre, selezioni l'opzione «Notifiche» e tocchi «CANCELLA».

[Torna al Sommario]

Ripristinare il browser Firefox:

Vada su «Impostazioni», scorra verso il basso fino a visualizzare «App» e lo tocchi.

Scorra verso il basso fino a trovare l'applicazione «Firefox», la selezioni e tocchi l'opzione «Archiviazione».

Tocchi «CANCELLA DATI» e confermi l'azione toccando «ELIMINA». Tenga presente che il ripristino del browser eliminerà tutti i dati in esso memorizzati. Ciò significa che verranno eliminati tutti gli accessi/le password salvati, la cronologia di navigazione, le impostazioni non predefinite e altri dati. Dovrà inoltre effettuare nuovamente l'accesso a tutti i siti web.

[Torna al Sommario]

Disinstallare le applicazioni potenzialmente indesiderate e/o dannose:

Vada su «Impostazioni», scorra verso il basso fino a visualizzare «App» e lo tocchi.

Scorra verso il basso fino a visualizzare un'applicazione potenzialmente indesiderata e/o dannosa, la selezioni e tocchi «Disinstalla». Se, per qualche motivo, non riesce a rimuovere l'app selezionata (ad esempio, viene visualizzato un messaggio di errore), dovrebbe provare a utilizzare la «Modalità provvisoria».

[Torna al Sommario]

Avviare il dispositivo Android in «Modalità provvisoria»:

La «Modalità provvisoria» del sistema operativo Android impedisce temporaneamente l'esecuzione di tutte le applicazioni di terze parti. L'utilizzo di questa modalità è un buon metodo per diagnosticare e risolvere vari problemi (ad esempio, rimuovere applicazioni dannose che impediscono agli utenti di farlo quando il dispositivo funziona «normalmente»).

Prema il pulsante «Accensione» e lo tenga premuto fino a visualizzare la schermata «Spegni». Tocchi l'icona «Spegni» e la tenga premuta. Dopo alcuni secondi apparirà l'opzione «Modalità provvisoria» e potrà avviarla riavviando il dispositivo.

[Torna al Sommario]

Controllare il consumo della batteria delle varie applicazioni:

Vada su «Impostazioni», scorra verso il basso fino a visualizzare «Manutenzione dispositivo» e lo tocchi.

Tocchi «Batteria» e controlli il consumo di ciascuna applicazione. Le applicazioni legittime/autentiche sono progettate per consumare meno energia possibile, al fine di offrire la migliore esperienza utente e risparmiare energia. Pertanto, un consumo elevato della batteria può indicare che l'applicazione è dannosa.

[Torna al Sommario]

Controllare l'utilizzo dei dati delle varie applicazioni:

Vada su «Impostazioni», scorra verso il basso fino a visualizzare «Connessioni» e lo tocchi.

Scorra verso il basso fino a visualizzare «Utilizzo dati» e selezioni questa opzione. Come per la batteria, le applicazioni legittime/autentiche sono progettate per ridurre al minimo l'utilizzo dei dati. Ciò significa che un utilizzo elevato dei dati può indicare la presenza di un'applicazione dannosa. Tenga presente che alcune applicazioni dannose potrebbero essere progettate per funzionare solo quando il dispositivo è connesso a una rete wireless. Per questo motivo, dovrebbe controllare l'utilizzo dei dati sia della rete mobile sia della rete Wi-Fi.

Se trova un'applicazione che utilizza molti dati anche se non la usa mai, le consigliamo vivamente di disinstallarla il prima possibile.

[Torna al Sommario]

Installare gli ultimi aggiornamenti software:

Mantenere il software aggiornato è una buona pratica per la sicurezza del dispositivo. I produttori di dispositivi rilasciano continuamente varie patch di sicurezza e aggiornamenti di Android per correggere errori e bug che possono essere sfruttati dai criminali informatici. Un sistema obsoleto è molto più vulnerabile, motivo per cui dovrebbe sempre assicurarsi che il software del dispositivo sia aggiornato.

Vada su «Impostazioni», scorra verso il basso fino a visualizzare «Aggiornamento software» e lo tocchi.

Tocchi «Scarica aggiornamenti manualmente» e verifichi se sono disponibili aggiornamenti. In tal caso, li installi immediatamente. Consigliamo inoltre di attivare l'opzione «Scarica aggiornamenti automaticamente»: in questo modo il sistema potrà avvisarla quando viene rilasciato un aggiornamento e/o installarlo automaticamente.

[Torna al Sommario]

Ripristinare il sistema allo stato predefinito:

Eseguire un «Ripristino dati di fabbrica» è un buon metodo per rimuovere tutte le applicazioni indesiderate, ripristinare le impostazioni di sistema predefinite e pulire il dispositivo in generale. Tuttavia, deve tenere presente che tutti i dati presenti nel dispositivo verranno eliminati, inclusi foto, file video/audio, numeri di telefono (memorizzati nel dispositivo, non nella scheda SIM), messaggi SMS e così via. In altre parole, il dispositivo verrà riportato al suo stato originale.

È inoltre possibile ripristinare le impostazioni di sistema di base e/o semplicemente le impostazioni di rete.

Vada su «Impostazioni», scorra verso il basso fino a visualizzare «Info sul telefono» e lo tocchi.

Scorra verso il basso fino a visualizzare «Ripristina» e lo tocchi. Ora scelga l'azione che desidera eseguire:
«Ripristina impostazioni» - ripristina tutte le impostazioni di sistema predefinite;
«Ripristina impostazioni di rete» - ripristina tutte le impostazioni di rete predefinite;
«Ripristino dati di fabbrica» - ripristina l'intero sistema ed elimina completamente tutti i dati memorizzati;

[Torna al Sommario]

Disattivare le applicazioni con privilegi di amministratore:

Se un'applicazione dannosa ottiene privilegi di livello amministratore, può danneggiare seriamente il sistema. Per mantenere il dispositivo il più sicuro possibile, dovrebbe sempre controllare quali app dispongono di tali privilegi e disattivare quelle che non dovrebbero averli.

Vada su «Impostazioni», scorra verso il basso fino a visualizzare «Schermata di blocco e sicurezza» e lo tocchi.

Scorra verso il basso fino a visualizzare «Altre impostazioni di sicurezza», lo tocchi e poi tocchi «App di amministrazione dispositivo».

Individui le applicazioni che non dovrebbero avere privilegi di amministratore, le tocchi e poi tocchi «DISATTIVA».

Domande frequenti (FAQ)

Il mio dispositivo Android è infetto dal malware Hirudo: devo formattare il mio dispositivo di archiviazione per eliminarlo?

La formattazione è raramente necessaria per rimuovere il malware. L'utilizzo di un software di sicurezza mobile affidabile come Combo Cleaner dovrebbe essere sufficiente per rilevare e rimuovere Hirudo dal dispositivo senza cancellare i dati.

Quali sono i problemi più gravi che il malware Hirudo può causare?

Hirudo può rubare le credenziali bancarie, intercettare le password monouso contenute nei messaggi SMS e sostituire le app bancarie autentiche con copie modificate che disattivano dall'interno i controlli di sicurezza delle app stesse.

Inoltre, offre agli operatori il controllo remoto in tempo reale del dispositivo, inclusi la visualizzazione dello schermo e l'accesso alla fotocamera. Le vittime rischiano perdite finanziarie significative, furto d'identità e gravi violazioni della privacy.

Qual è lo scopo del malware Hirudo?

La maggior parte degli attacchi malware è motivata dal profitto e Hirudo non fa eccezione. I suoi operatori gestiscono un backend progettato per convertire le credenziali e i dati dei dispositivi rubati in transazioni fraudolente. Detto ciò, le motivazioni dei criminali informatici possono includere anche l'hacktivismo, rancori personali o obiettivi geopolitici.

In che modo il malware Hirudo si è infiltrato nel mio dispositivo Android?

Molto probabilmente Hirudo viene installato tramite un'app esca camuffata da piattaforma di shopping, video o mini-serie drammatiche. Dopo l'avvio, queste app mostrano un falso avviso di aggiornamento in-app e installano il payload di Hirudo come seconda applicazione. Gli utenti possono imbattersi in questo malware anche tramite app store non ufficiali o pubblicità dannose.

Combo Cleaner mi proteggerà dal malware?

Combo Cleaner è in grado di rilevare ed eliminare la stragrande maggioranza delle infezioni malware note. Poiché minacce sofisticate come Hirudo si annidano in profondità nel dispositivo, si consiglia vivamente di eseguire una scansione completa del sistema per garantirne la rimozione totale.