Um malware para Android chamado Hirudo usa uma técnica incomum para assumir o lugar de aplicativos bancários legítimos. Em vez de apenas sobrepor uma tela falsa, ele remove o app instalado e coloca uma cópia modificada no aparelho. A substituição desativa verificações de segurança e permite capturar credenciais, códigos e outras informações usadas em transações.

A infecção começa com aplicativos distribuídos fora das lojas oficiais. Os pesquisadores encontraram nomes como Shopora, 1V1X, ZoyaTV e KoiShort, apresentados como compras, conteúdo adulto ou séries curtas. Depois da instalação, o programa exibe uma falsa atualização e tenta convencer o usuário a conceder acesso aos serviços de Acessibilidade do Android.

Com essa permissão, o Hirudo ganha capacidade para observar a tela e executar ações no aparelho. O malware identifica aplicativos bancários, conduz a remoção e instala versões alteradas que imitam as originais. Também pode ler mensagens, coletar PINs e códigos de desbloqueio, usar câmera e tela e manter controle remoto sobre o dispositivo.

A campanha analisada incluía oito cópias de aplicativos ligados a sete bancos da Indonésia. A infraestrutura, porém, aponta interesse mais amplo, com alvos na China, Índia, México, Marrocos e Tailândia. O número de vítimas não foi divulgado. Páginas falsas de pagamento e solicitações de códigos ajudam a ampliar o alcance além de uma única instituição.

O ataque depende de várias decisões visíveis do usuário. É preciso instalar um APK de origem não oficial, autorizar Acessibilidade e aceitar etapas de remoção ou instalação. Isso cria oportunidades para interromper o processo. Um pedido inesperado para atualizar um aplicativo por fora da loja ou para conceder controle amplo do telefone deve ser tratado como sinal de alerta.

As medidas mais eficazes continuam básicas: manter o Android atualizado, deixar o Google Play Protect ativo e evitar APKs enviados por mensagens, anúncios ou páginas desconhecidas. Também é útil revisar periodicamente quais apps têm acesso à Acessibilidade. Serviços de compras, vídeos ou entretenimento raramente precisam dessa permissão para funcionar.

Se um aplicativo bancário desaparecer ou pedir nova instalação sem aviso do banco, o procedimento seguro é interromper o uso do aparelho, desconectá-lo da rede e procurar a instituição por outro dispositivo. Trocar senhas e verificar transações pode limitar o dano. O Hirudo mostra que uma interface conhecida não prova autenticidade: quando o programa inteiro foi substituído, a aparência familiar pode ser justamente a parte mais perigosa do golpe.