Hirudo : un cheval de Troie Android remplace les applis bancaires

ThreatFabric, société néerlandaise de sécurité mobile, a décrit le 14 octobre 2026 Hirudo, un cheval de Troie bancaire pour Android qui désinstalle de vraies applications bancaires pour les remplacer par des copies modifiées capables de contourner leurs propres contrôles de sécurité ; huit applications indonésiennes sont concernées.

Comment Hirudo s’installe-t-il sur le téléphone ?

Le point d’entrée est une application leurre : boutique en ligne, vidéos pour adultes ou séries courtes, qui charge réellement du contenu dans une WebView pour paraître légitime. Elle affiche ensuite une fausse mise à jour qui installe Hirudo comme second paquet. Celui-ci doit obtenir ses propres autorisations, notamment le service d’accessibilité et l’accès aux notifications.

Avant l’installation, le logiciel coupe l’accès à Internet des autres applications via une connexion VPN volontairement inopérante. ThreatFabric estime que l’objectif est d’empêcher les vérifications en ligne, comme celles de Google Play Protect, mais que la détection hors ligne de ce dernier continue de fonctionner : la protection n’est donc pas totalement neutralisée.

Que change le remplacement des applications bancaires ?

Un cheval de Troie bancaire classique superpose de faux écrans. Hirudo va plus loin : il repère l’application légitime, vérifie son certificat de signature, ouvre le désinstallateur d’Android sans attendre le clic de l’utilisateur, et télécharge en parallèle une version sur mesure. Cette copie embarque un moteur de piégeage qui fausse les contrôles internes : elle renvoie le certificat d’origine, déclare qu’aucun service d’accessibilité n’est actif et retire le drapeau FLAG_SECURE, ce qui permet de voir et d’enregistrer l’écran à distance.

Les attestations de clés sont re-signées avec un « keybox » qui, selon ThreatFabric, provient d’une fuite publique, et les requêtes Play Integrity sont relayées en HTTP vers un serveur des opérateurs qui renvoie un verdict favorable. L’opération combine vol d’identifiants, prise de contrôle de l’appareil, capture d’écran et de caméra, et vol de SMS.

Qui est concerné, et que faire ?

Les remplacements visent huit applications indonésiennes, mais le vol d’identifiants cible aussi la Chine, l’Inde, le Mexique, le Maroc et la Thaïlande. Aucune application française n’est citée dans les informations que nous avons lues. Le risque pour un utilisateur en France paraît donc faible à ce stade, sans que cela soit établi pour les campagnes futures.

• N’installer les applications que depuis Google Play ou le site officiel de l’établissement bancaire.

• Refuser toute « mise à jour » proposée à l’intérieur d’une application de vidéos ou de shopping.

• Se méfier de toute demande d’activer le service d’accessibilité pour une application sans rapport avec le handicap.

• Si une application bancaire est désinstallée sans action de votre part, couper le réseau et contacter sa banque.

Le même mois, Google a pourtant été critiqué pour un réglage Android activé par défaut, détaillé dans notre article sur la validation du numéro de téléphone.

Source

The Hacker News, article du 14 octobre 2026, d’après le rapport de ThreatFabric ; BleepingComputer.