Hirudo remplace votre vraie application bancaire par une copie modifiée qui aveugle ses propres contrôles

Le 14 octobre 2026, l’entreprise de sécurité mobile ThreatFabric a publié son analyse d’un nouveau cheval de Troie bancaire Android qu’elle appelle Hirudo. La plupart des logiciels malveillants bancaires affichent un faux écran de connexion par-dessus votre vraie application bancaire. Hirudo tente quelque chose de plus audacieux : il supprime la vraie application et installe une copie modifiée qui désactive de l’intérieur les propres contrôles de sécurité de l’application. Pour l’instant, il vise des banques indonésiennes, donc la plupart de nos lecteurs ne le croiseront pas. La façon dont il arrive sur un téléphone est ce qu’il faut retenir, parce qu’elle est la même partout.

Comment il entre

Tout commence par une application qui fonctionne. ThreatFabric a trouvé Hirudo dans une application de magasinage (Shopora), une application de vidéos pour adultes (1V1 X) et des applications de courtes séries (ZoyaTV et KoiShort), qui affichent toutes du vrai contenu. Les chercheurs ont retracé les téléchargements jusqu’à des liens sur CloudFront, le service d’Amazon, promus par des campagnes publicitaires. Une fois que vous utilisez l’application, elle affiche une fausse « mise à jour » qui installe une deuxième application : le cheval de Troie lui-même. Cette deuxième application demande ensuite la permission d’accessibilité et l’accès à vos notifications. Sans elles, elle ne peut pas faire grand-chose.

Ce qu’il fait à votre application bancaire

Hirudo garde une liste de 42 applications financières. Pour huit applications bancaires indonésiennes, couvrant sept banques, il a un remplacement tout prêt. Quand il en repère une sur votre téléphone, il affiche une autre fausse mise à jour, ouvre le programme de désinstallation d’Android pour la vraie application, télécharge la copie modifiée et se sert de l’accessibilité pour faire défiler l’installation.

La copie modifiée garde presque tout le code de la banque. ThreatFabric y a trouvé une seule ligne ajoutée, qui charge un moteur d’interception, et ce moteur ment à l’application sur elle-même :

• quand l’application vérifie sa propre signature, elle reçoit la vraie
• quand elle demande quels services d’accessibilité sont actifs, elle reçoit une liste vide
• le réglage qui bloque les captures de l’écran bancaire est retiré, si bien que l’écran peut être observé à distance
• la vérification Play Integrity de Google, que les banques utilisent pour savoir si une application a été modifiée, passe par le serveur des attaquants

Ce qu’il vole

ThreatFabric indique qu’Hirudo recueille les mots de passe bancaires, les NIP de paiement tapés sur une fausse page de paiement, le NIP ou le schéma de déverrouillage du téléphone et les textos, et qu’il peut diffuser votre écran et utiliser les caméras avant et arrière. Les chercheurs ont trouvé des milliers d’identifiants volés dans un serveur que les opérateurs avaient laissé exposé, mais le nombre de victimes est inconnu, rapporte BleepingComputer. Au-delà de l’Indonésie, le code nomme des cibles en Chine, en Inde, au Mexique, au Maroc et en Thaïlande, et la fausse page de paiement porte l’image de banques malaisiennes.

Où on peut l’arrêter

L’échange a des points faibles. Comme la copie n’est pas signée avec la clé de la banque, Android refuse de l’installer par-dessus la vraie application : Hirudo doit donc d’abord faire désinstaller la vraie. ThreatFabric souligne qu’on peut l’interrompre à deux moments : à la désinstallation et à l’installation. Les chercheurs ont aussi découvert que la clé utilisée par le logiciel malveillant pour simuler l’attestation matérielle avait fuité publiquement, et Google a déjà classé deux de ses certificats comme compromis, si bien qu’une banque qui fait cette vérification sur ses propres serveurs peut le repérer.

Quoi faire

1. Mettez vos applications à jour seulement par le Play Store. Une application de magasinage ou de vidéos qui propose d’installer sa propre « mise à jour », c’est le signal d’alarme ici.
2. Gardez « Installer des applis inconnues » désactivé pour votre navigateur et toutes les autres applications.
3. N’accordez l’accessibilité qu’aux outils d’accessibilité que vous avez choisis. Cette permission permet à une application de lire votre écran et de toucher à votre place. Notre article sur la permission d’accessibilité explique quoi vérifier dans les Paramètres.
4. Si votre application bancaire demande à être réinstallée, ou disparaît puis revient, arrêtez-vous. Réinstallez-la seulement depuis le Play Store, et appelez votre banque au numéro inscrit sur votre carte.

Sources

• ThreatFabric, « Hirudo: From Fake Updates to Patched Banking Apps » (en anglais), 14 octobre 2026
• BleepingComputer, « Hirudo Android malware replaces banking apps to evade security checks » (en anglais), 14 octobre 2026
• SecurityWeek, « Novel Android RAT ‘Hirudo’ Replaces Banking Apps With Trojanized Copies » (en anglais), 15 octobre 2026