تروجان بانکی Hirudo؛ اپ بانک شما را عوض می‌کند + ۶ راه محافظت

تروجان بانکی دیگر فقط یک صفحه‌ی جعلی روی اپ بانک شما نمی‌کشد؛ نمونه‌ی تازه‌ای به نام Hirudo خود اپلیکیشن بانک را حذف می‌کند و نسخه‌ی دستکاری‌شده‌اش را جای آن نصب می‌کند. این بدافزار فعلاً بانک‌های ایرانی را هدف نگرفته، اما روشی که به کار می‌برد دقیقاً همان عادتی را نشانه می‌گیرد که بسیاری از ما داریم: نصب اپ بانک از فایل APK.

پاسخ کوتاه: Hirudo یک تروجان اندرویدی است که با یک «آپدیت» جعلی، اپ واقعی بانک را پاک و نسخه‌ی آلوده را نصب می‌کند تا رمز، پین و پیامک‌ها را بدزدد. اپ بانک را فقط از سایت رسمی بانک یا مارکت معتبر بگیرید، به هیچ اپ ناشناسی دسترسی Accessibility ندهید و یک آنتی‌ویروس موبایل با محافظت لحظه‌ای نصب کنید.

Hirudo چیست و چرا خبرساز شد؟

شرکت امنیت موبایل ThreatFabric در اکتبر ۲۰۲۶ گزارش داد که Hirudo نسخه‌ی آلوده‌ی هشت اپلیکیشن بانکی اندونزیایی را ساخته و اطلاعات کاربران در شش کشور از جمله هند، مکزیک، مراکش و تایلند را هدف گرفته است. به گزارش BleepingComputer، این بدافزار می‌تواند رمز بانکی، پین پرداخت، رمز قفل گوشی و پیامک‌ها را بدزدد، صفحه را زنده برای مهاجم پخش کند و گوشی را از راه دور کنترل کند.

نکته‌ی نگران‌کننده این است که اپ جعلی تقریباً همان کد اپ اصلی را دارد، پس ظاهر و کارکردش عادی است و قربانی متوجه تعویض نمی‌شود.

این تروجان بانکی چطور اپ بانک را عوض می‌کند؟

1. اپ طعمه: کاربر یک اپ ظاهراً سالم، مثل فروشگاه اینترنتی، سریال کوتاه یا اپ فوتبال، از یک صفحه‌ی تقلبی شبیه Google Play نصب می‌کند. این صفحه‌ها با تبلیغات در شبکه‌های اجتماعی پخش شده‌اند.
2. آپدیت جعلی: اپ پیغام «به‌روزرسانی» نشان می‌دهد و از کاربر دسترسی Accessibility و دسترسی به اعلان‌ها می‌خواهد.
3. تعویض اپ بانک: با همین دسترسی، صفحه‌ی حذف اپ واقعی بانک را باز می‌کند و نسخه‌ی آلوده را نصب می‌کند.
4. دور زدن بررسی‌ها: نسخه‌ی جعلی جلوی تشخیص خودش را می‌گیرد و حتی محافظت در برابر اسکرین‌شات را برمی‌دارد تا صفحه قابل ضبط باشد.

چرا این خبر برای کاربران ایرانی مهم است؟

اپلیکیشن‌های بانکی ایرانی در Google Play نیستند و بیشتر ما همراه‌بانک را از سایت بانک، کافه‌بازار یا مایکت نصب می‌کنیم. همین عادت نصب APK، گوشی را برای ترفندهایی مثل «آپدیت جعلی اپ بانک» آسیب‌پذیرتر می‌کند. کلاهبرداری‌های ایرانی مثل ابلاغیه جعلی و پیامک ثنا تقلبی هم از همین الگو استفاده می‌کنند: یک فایل نصبی که اول بی‌خطر به نظر می‌رسد.

طبق گزارش سه‌ماهه‌ی سوم ۲۰۲۶ تیم Lat61 شرکت Point Wild، حدود ۵۶ درصد بدافزارهای شناسایی‌شده‌ی اندروید از نوع تروجان بانکی بوده‌اند؛ یعنی هدف اصلی مهاجمان، حساب بانکی شماست.

۶ راه محافظت در برابر تروجان بانکی

• منبع رسمی: همراه‌بانک را فقط از سایت رسمی بانک یا مارکت معتبر بگیرید؛ هرگز از لینک پیامک، تلگرام یا تبلیغ.
• آپدیت فقط از همان منبع: اگر اپی غیر از خود اپ بانک یا مارکت گفت «اپ بانک را آپدیت کنید»، قبول نکنید.
• Accessibility را جدی بگیرید: اپ فروشگاهی یا سریال هیچ نیازی به این دسترسی ندارد. در Settings بخش Accessibility را بررسی و اپ‌های ناشناس را خاموش کنید.
• Play Protect روشن بماند: اسکن دوره‌ای انجام دهید و اگر اپی خواست آن را خاموش کنید، همان اپ را حذف کنید.
• آنتی‌ویروس موبایل: ESET Mobile Security فایل‌های نصبی را قبل از اجرا اسکن می‌کند و با Anti-Phishing جلوی صفحه‌های تقلبی را می‌گیرد. برای انتخاب، مقایسه‌ی آنتی ویروس اندروید قوی را ببینید.
• مرورگر امن: برای پرداخت در مرورگر کامپیوتر، افزونه‌ی ضدفیشینگ «پدیدبان» درگاه‌های جعلی را هشدار می‌دهد.

علائم آلودگی و اقدام فوری

برای نشانه‌های بیشتر، راهنمای تشخیص ویروس گوشی را بخوانید.

سوالات متداول

آیا Hirudo بانک‌های ایرانی را هدف گرفته است؟

تا زمان انتشار گزارش، نه. اهداف اعلام‌شده بانک‌های اندونزی و چند کشور دیگر بوده‌اند، اما روش آن به‌راحتی برای هر کشوری قابل تکرار است.

آیا آنتی‌ویروس جلوی تروجان بانکی را می‌گیرد؟

یک آنتی‌ویروس خوب بیشتر نمونه‌های شناخته‌شده را هنگام نصب شناسایی می‌کند، ولی جای احتیاط را نمی‌گیرد؛ مهم‌ترین سد، ندادن دسترسی Accessibility به اپ‌های ناشناس است.

جمع‌بندی

Hirudo نشان می‌دهد تروجان بانکی حالا می‌تواند خود اپ بانک را جعل کند. اپ بانک را فقط از منبع رسمی نصب و آپدیت کنید، دسترسی‌ها را کنترل کنید و یک آنتی‌ویروس موبایل معتبر کنار Play Protect داشته باشید.