Hoe verwijdert u de Hirudo Android-banktrojan

Wat voor soort malware is Hirudo?

Hirudo is een Android-banking trojan met mogelijkheden voor externe toegang. Volgens onderzoek dat is gepubliceerd door het Mobile Threat Intelligence-team van ThreatFabric, combineert deze malware diefstal van inloggegevens op het apparaat zelf met live externe besturing van het geïnfecteerde apparaat. Hirudo wordt verspreid via lokapps die zich voordoen als winkel-, pornovideo- of korte drama-applicaties, en kan echte bankapps vervangen door aangepaste kopieën die de eigen beveiligingscontroles van de banken van binnenuit uitschakelen.

Overzicht van de Hirudo-malware

Hirudo is opgebouwd rond een ontwerp in twee fasen. De eerste fase is een dropper, verpakt als lokapp in categorieën zoals winkelen (Shopora), video's voor volwassenen (1V1 X) of korte drama's (ZoyaTV, KoiShort). Deze apps laden echte inhoud via een WebView, waardoor de ervaring legitiem lijkt en het slachtoffer geen directe reden heeft om argwaan te krijgen.

Wanneer de dropper wordt uitgevoerd, controleert deze ongemerkt of de payload van Hirudo al is geïnstalleerd. Zo niet, dan toont hij een nep-updateprompt in de app en biedt hij de payload-APK aan voor installatie als tweede app. Eén geanalyseerde variant activeert tijdens de installatie een blackhole-VPN, waardoor het internetverkeer van het apparaat wordt afgesneden terwijl de payload ongemerkt op de achtergrond wordt geïnstalleerd.

Zodra de payload actief is, kan deze in-app-aankopen onderscheppen. Wanneer de dropper een betaling activeert, toont de payload daarover een nep-afrekenpagina met behulp van een transparante WebView. De pagina draagt de huisstijl van de bank of e-wallet van het slachtoffer en ondersteunt acht talen. Elke betaalpincode die het slachtoffer invoert, wordt onderschept en naar de operators verzonden, terwijl een vervalst bericht over een geslaagde betaling naar de dropper wordt teruggestuurd.

Naast fraude bij het afrekenen verzamelt Hirudo bankinloggegevens via bankspecifieke prompts terwijl de gebruiker typt. Een nep-patroonoverlay op volledig scherm onderschept het ontgrendelpatroon van het apparaat, en in sommige versies leest de payload de invoer van de pincode, het wachtwoord of het patroon op het echte vergrendelscherm via de Android-toegankelijkheidsservices. De malware maakt live meekijken op het scherm mogelijk via WebRTC en activeert op verzoek de camera's aan de voor- en achterkant.

Hirudo onderschept ook sms-berichten: bij de eerste uitvoering scant de malware de geschiedenis van 90 dagen en daarna monitort deze geconfigureerde afzenders van banken en wallets. Hierdoor kan de malware eenmalige wachtwoorden stelen die worden gebruikt bij tweefactorauthenticatie. De malware houdt een register bij van 42 financiële apps en beschikt over speciaal gebouwde vervangingen voor acht Indonesische bankapps van zeven banken.

Het vervangingsproces van bankapps begint wanneer Hirudo via Toegankelijkheid een doelapp detecteert, het ondertekeningscertificaat ervan verifieert en een nep-updateprompt toont. Vervolgens opent de malware de Android-verwijderfunctie voor de echte app zonder op bevestiging van de gebruiker te wachten en downloadt tegelijkertijd de gepatchte vervanging. Omdat Android het installeren van een anders ondertekende app als update blokkeert, moet Hirudo eerst het origineel verwijderen.

De gepatchte vervanging behoudt de oorspronkelijke pakketnaam en versie, maar is ondertekend met een openbare Android-testsleutel. Eén enkele regel die in de Application-klasse van de app is geïnjecteerd, laadt een zelfstandige hooking-engine gebouwd op YAHFA en Dobby, twee opensourceframeworks voor het vervangen van Java-methoden en het hooken van native functies. De engine wordt alleen geactiveerd wanneer een triggerbestand dat door de RAT is geschreven op het apparaat aanwezig is.

Doordat de engine binnen het eigen proces van de bankapp draait, worden de beveiligingscontroles van de app tegen de app zelf gekeerd. De hook vervangt het echte ondertekeningscertificaat om de handtekening met de testsleutel te verbergen, retourneert een lege lijst met toegankelijkheidsservices zodat de controlerende service onzichtbaar is, en verwijdert de vlag die schermafbeeldingen blokkeert, zodat het bankscherm op afstand kan worden bekeken en opgenomen.

Play Integrity-verzoeken van de gepatchte app worden via onversleuteld HTTP doorgestuurd naar een server die door de operators wordt beheerd, in plaats van lokaal te worden beantwoord. De attestatie-keybox die de engine meedraagt, is een openbaar uitgelekte keybox, en ThreatFabric bevestigde dat ten minste twee van de certificaten ervan als gecompromitteerd op de attestatie-intrekkingslijst van Google staan. Intrekkingscontroles aan de serverzijde kunnen de vervalsingen nog steeds detecteren.

De lokapps van Hirudo worden verspreid via Amazon CloudFront, met afzonderlijke routes voor elke lokappfamilie en een speciale host voor de gepatchte bankapps. De campagne gebruikt OpenInstall voor installatietoewijzing en koppelt de huisstijl van de lokapps aan campagnegroepen via Meta Pixel-ID's. Een APK-verwerkingspaneel dat werd gebruikt om de lokapps opnieuw te bouwen, was zonder authenticatie bereikbaar, waarbij cloudopslagbuckets en inloggegevens openlijk toegankelijk waren.

De vervangingen van bankapps richten zich op acht Indonesische apps van zeven banken, maar het geconfigureerde bereik van Hirudo is breder. De doelwitten voor inloggegevens die in de code worden genoemd, bevinden zich in Indonesië, China, India, Mexico, Marokko en Thailand, en de meegeleverde nep-afrekenpagina draagt de huisstijl van Maleisische banken en e-wallets.

Een backend die in augustus 2026 werd onderschept, bevatte duizenden records met inloggegevens en apparaatgegevens, verdeeld over campagnegroepen. De records omvatten de geschiedenis van het vergrendelscherm en financiële profielen met velden voor maandinkomen en risicoscore. Operators markeerden sommige vermeldingen als succesvol gephisht, wat wijst op een gestructureerde werkwijze om gestolen gegevens om te zetten in frauduleuze transacties.

Samenvattend kan de aanwezigheid van malware zoals Hirudo op een apparaat leiden tot meerdere systeeminfecties, ernstige privacyproblemen, aanzienlijke financiële verliezen en identiteitsdiefstal.

Er moet worden vermeld dat malwareontwikkelaars hun software en methoden vaak verbeteren. Daarom kunnen mogelijke toekomstige versies van Hirudo extra of andere functionaliteiten en kenmerken hebben.

Voorbeelden van Android-banking trojans

Hirudo is een opvallend voorbeeld van hoe moderne Android-banking trojans zich hebben ontwikkeld van eenvoudige overlay-aanvallen tot technieken voor het vervangen van apps en volledige controle over het apparaat op afstand. Andere voorbeelden van Android-banking trojans zijn RemControl, Rokarolla en OverlayPhantom.

Kwaadaardige programma's verschillen sterk in ontwerp en doel. Of ze nu gericht zijn op financieel gewin, het stelen van persoonlijke gegevens of het bieden van blijvende externe toegang tot een apparaat aan criminelen, al dergelijke dreigingen moeten worden verwijderd zodra ze worden ontdekt.

Hoe is Hirudo mijn apparaat binnengedrongen?

Hirudo bereikt slachtoffers via lokapps die eruitzien als legitieme platforms voor winkelen, video's voor volwassenen of korte drama's. Deze apps worden verspreid via advertentienetwerken en aangeboden via Amazon CloudFront. ThreatFabric merkte op dat sommige downloadroutes nog in oktober 2026 actief waren.

Nadat de lokapp is geïnstalleerd, toont deze een nep-updateprompt in de app en installeert de payload van Hirudo als tweede applicatie. Gebruikers moeten voorzichtig zijn met elke app die vraagt om extra pakketten te installeren buiten de officiële Google Play Store.

Meer in het algemeen verspreiden cybercriminelen malware via vele kanalen: phishingberichten, kwaadaardige advertenties, nep-updateprompts en onofficiële appstores. Alert blijven op onverwachte installatieverzoeken is een van de meest effectieve stappen die gebruikers kunnen nemen om infectie te voorkomen.

Hoe voorkomt u de installatie van malware?

Download apps alleen uit de officiële Google Play Store en van geverifieerde websites van ontwikkelaars. Lees altijd gebruikersrecensies en controleer de machtigingen die een app vraagt voordat u deze installeert. Wees vooral op uw hoede voor apps die u na het starten vragen om extra software te installeren, aangezien dit een tactiek is die vaak wordt gebruikt door malware van het droppertype.

Houd uw Android-besturingssysteem en alle geïnstalleerde apps up-to-date, aangezien updates vaak beveiligingspatches bevatten die bekende kwetsbaarheden verhelpen. Het gebruik van betrouwbare mobiele beveiligingssoftware en het regelmatig uitvoeren van scans vermindert ook uw risico. Klik niet op links in ongevraagde sms-berichten, e-mails of berichten op sociale media, aangezien deze kunnen leiden naar pagina's die kwaadaardige APK's aanbieden.

De nep-afrekenoverlay van Hirudo, weergegeven met de huisstijl van Maybank, transparant over het eigen bestelscherm van de dropper geplaatst om betaalpincodes te onderscheppen (bron: ThreatFabric):

Snelmenu:

• Inleiding
• Hoe verwijdert u de browsegeschiedenis uit de Chrome-webbrowser?
• Hoe schakelt u browsermeldingen uit in de Chrome-webbrowser?
• Hoe reset u de Chrome-webbrowser?
• Hoe verwijdert u de browsegeschiedenis uit de Firefox-webbrowser?
• Hoe schakelt u browsermeldingen uit in de Firefox-webbrowser?
• Hoe reset u de Firefox-webbrowser?
• Hoe verwijdert u potentieel ongewenste en/of kwaadaardige applicaties?
• Hoe start u het Android-apparaat op in "Veilige modus"?
• Hoe controleert u het batterijverbruik van verschillende applicaties?
• Hoe controleert u het dataverbruik van verschillende applicaties?
• Hoe installeert u de nieuwste software-updates?
• Hoe zet u het systeem terug naar de standaardinstellingen?
• Hoe schakelt u applicaties met beheerdersrechten uit?

Verwijder de browsegeschiedenis uit de Chrome-webbrowser:

Tik op de knop "Menu" (drie puntjes in de rechterbovenhoek van het scherm) en selecteer "Geschiedenis" in het geopende vervolgkeuzemenu.

Tik op "Browsegegevens wissen", selecteer het tabblad "GEAVANCEERD", kies het tijdsbereik en de gegevenstypen die u wilt verwijderen en tik op "Gegevens wissen".

[Terug naar de inhoudsopgave]

Schakel browsermeldingen uit in de Chrome-webbrowser:

Tik op de knop "Menu" (drie puntjes in de rechterbovenhoek van het scherm) en selecteer "Instellingen" in het geopende vervolgkeuzemenu.

Scrol omlaag tot u de optie "Site-instellingen" ziet en tik erop. Scrol omlaag tot u de optie "Meldingen" ziet en tik erop.

Zoek de websites die browsermeldingen weergeven, tik erop en klik op "Wissen en resetten". Hiermee worden de machtigingen verwijderd die aan deze websites zijn verleend om meldingen weer te geven. Wanneer u dezelfde site echter opnieuw bezoekt, kan deze opnieuw om toestemming vragen. U kunt kiezen of u deze machtigingen al dan niet verleent (als u weigert, wordt de website verplaatst naar het gedeelte "Geblokkeerd" en wordt u niet langer om toestemming gevraagd).

[Terug naar de inhoudsopgave]

Reset de Chrome-webbrowser:

Ga naar "Instellingen", scrol omlaag tot u "Apps" ziet en tik erop.

Scrol omlaag tot u de applicatie "Chrome" vindt, selecteer deze en tik op de optie "Opslag".

Tik op "OPSLAG BEHEREN", vervolgens op "ALLE GEGEVENS WISSEN" en bevestig de actie door op "OK" te tikken. Houd er rekening mee dat bij het resetten van de browser alle daarin opgeslagen gegevens worden verwijderd. Dit betekent dat alle opgeslagen inloggegevens/wachtwoorden, browsegeschiedenis, niet-standaardinstellingen en andere gegevens worden verwijderd. U moet zich ook opnieuw aanmelden bij alle websites.

[Terug naar de inhoudsopgave]

Verwijder de browsegeschiedenis uit de Firefox-webbrowser:

Tik op de knop "Menu" (drie puntjes in de rechterbovenhoek van het scherm) en selecteer "Geschiedenis" in het geopende vervolgkeuzemenu.

Scrol omlaag tot u "Privégegevens wissen" ziet en tik erop. Selecteer de gegevenstypen die u wilt verwijderen en tik op "GEGEVENS WISSEN".

[Terug naar de inhoudsopgave]

Schakel browsermeldingen uit in de Firefox-webbrowser:

Bezoek de website die browsermeldingen weergeeft, tik op het pictogram links van de adresbalk (het pictogram is niet noodzakelijk een "Slot") en selecteer "Site-instellingen bewerken".

Vink in het geopende pop-upvenster de optie "Meldingen" aan en tik op "WISSEN".

[Terug naar de inhoudsopgave]

Reset de Firefox-webbrowser:

Ga naar "Instellingen", scrol omlaag tot u "Apps" ziet en tik erop.

Scrol omlaag tot u de applicatie "Firefox" vindt, selecteer deze en tik op de optie "Opslag".

Tik op "GEGEVENS WISSEN" en bevestig de actie door op "VERWIJDEREN" te tikken. Houd er rekening mee dat bij het resetten van de browser alle daarin opgeslagen gegevens worden verwijderd. Dit betekent dat alle opgeslagen inloggegevens/wachtwoorden, browsegeschiedenis, niet-standaardinstellingen en andere gegevens worden verwijderd. U moet zich ook opnieuw aanmelden bij alle websites.

[Terug naar de inhoudsopgave]

Verwijder potentieel ongewenste en/of kwaadaardige applicaties:

Ga naar "Instellingen", scrol omlaag tot u "Apps" ziet en tik erop.

Scrol omlaag tot u een potentieel ongewenste en/of kwaadaardige applicatie ziet, selecteer deze en tik op "Verwijderen". Als u de geselecteerde app om de een of andere reden niet kunt verwijderen (u krijgt bijvoorbeeld een foutmelding), probeer dan de "Veilige modus" te gebruiken.

[Terug naar de inhoudsopgave]

Start het Android-apparaat op in "Veilige modus":

De "Veilige modus" in het Android-besturingssysteem voorkomt tijdelijk dat applicaties van derden worden uitgevoerd. Het gebruik van deze modus is een goede manier om verschillende problemen te diagnosticeren en op te lossen (bijvoorbeeld kwaadaardige applicaties verwijderen die gebruikers dit beletten wanneer het apparaat "normaal" werkt).

Druk op de "Aan/uit"-knop en houd deze ingedrukt tot u het scherm "Uitschakelen" ziet. Tik op het pictogram "Uitschakelen" en houd het vast. Na enkele seconden verschijnt de optie "Veilige modus" en kunt u deze starten door het apparaat opnieuw op te starten.

[Terug naar de inhoudsopgave]

Controleer het batterijverbruik van verschillende applicaties:

Ga naar "Instellingen", scrol omlaag tot u "Apparaatonderhoud" ziet en tik erop.

Tik op "Batterij" en controleer het verbruik van elke applicatie. Legitieme/echte applicaties zijn ontworpen om zo weinig mogelijk energie te verbruiken om de beste gebruikerservaring te bieden en stroom te besparen. Een hoog batterijverbruik kan er daarom op wijzen dat de applicatie kwaadaardig is.

[Terug naar de inhoudsopgave]

Controleer het dataverbruik van verschillende applicaties:

Ga naar "Instellingen", scrol omlaag tot u "Verbindingen" ziet en tik erop.

Scrol omlaag tot u "Dataverbruik" ziet en selecteer deze optie. Net als bij de batterij zijn legitieme/echte applicaties ontworpen om het dataverbruik zoveel mogelijk te beperken. Dit betekent dat een zeer hoog dataverbruik kan wijzen op de aanwezigheid van een kwaadaardige applicatie. Houd er rekening mee dat sommige kwaadaardige applicaties zo kunnen zijn ontworpen dat ze alleen werken wanneer het apparaat met een draadloos netwerk is verbonden. Daarom moet u zowel het mobiele als het wifi-dataverbruik controleren.

Als u een applicatie vindt die veel data verbruikt, hoewel u deze nooit gebruikt, raden wij u ten zeerste aan deze zo snel mogelijk te verwijderen.

[Terug naar de inhoudsopgave]

Installeer de nieuwste software-updates:

De software up-to-date houden is een goede gewoonte als het gaat om de veiligheid van het apparaat. Apparaatfabrikanten brengen voortdurend verschillende beveiligingspatches en Android-updates uit om fouten en bugs te verhelpen die door cybercriminelen kunnen worden misbruikt. Een verouderd systeem is veel kwetsbaarder, daarom moet u er altijd voor zorgen dat de software van uw apparaat up-to-date is.

Ga naar "Instellingen", scrol omlaag tot u "Software-update" ziet en tik erop.

Tik op "Updates handmatig downloaden" en controleer of er updates beschikbaar zijn. Zo ja, installeer ze dan onmiddellijk. We raden ook aan de optie "Updates automatisch downloaden" in te schakelen - hiermee kan het systeem u op de hoogte stellen zodra een update is uitgebracht en/of deze automatisch installeren.

[Terug naar de inhoudsopgave]

Zet het systeem terug naar de standaardinstellingen:

Het uitvoeren van een "Fabrieksreset" is een goede manier om alle ongewenste applicaties te verwijderen, de systeeminstellingen terug te zetten naar de standaardwaarden en het apparaat in het algemeen op te schonen. Houd er echter rekening mee dat alle gegevens op het apparaat worden verwijderd, inclusief foto's, video-/audiobestanden, telefoonnummers (opgeslagen op het apparaat, niet op de simkaart), sms-berichten, enzovoort. Met andere woorden, het apparaat wordt teruggezet naar de oorspronkelijke staat.

U kunt ook alleen de basissysteeminstellingen en/of de netwerkinstellingen herstellen.

Ga naar "Instellingen", scrol omlaag tot u "Over de telefoon" ziet en tik erop.

Scrol omlaag tot u "Resetten" ziet en tik erop. Kies nu de actie die u wilt uitvoeren:
"Instellingen resetten" - alle systeeminstellingen terugzetten naar de standaardwaarden;
"Netwerkinstellingen resetten" - alle netwerkgerelateerde instellingen terugzetten naar de standaardwaarden;
"Fabrieksgegevens herstellen" - het volledige systeem resetten en alle opgeslagen gegevens volledig verwijderen;

[Terug naar de inhoudsopgave]

Schakel applicaties met beheerdersrechten uit:

Als een kwaadaardige applicatie beheerdersrechten krijgt, kan deze het systeem ernstig beschadigen. Om het apparaat zo veilig mogelijk te houden, moet u altijd controleren welke apps dergelijke rechten hebben en de apps uitschakelen die deze niet zouden mogen hebben.

Ga naar "Instellingen", scrol omlaag tot u "Vergrendelscherm en beveiliging" ziet en tik erop.

Scrol omlaag tot u "Andere beveiligingsinstellingen" ziet, tik erop en tik vervolgens op "Apparaatbeheer-apps".

Identificeer applicaties die geen beheerdersrechten zouden mogen hebben, tik erop en tik vervolgens op "DEACTIVEREN".

Veelgestelde vragen (FAQ)

Mijn Android-apparaat is geïnfecteerd met de Hirudo-malware, moet ik mijn opslagapparaat formatteren om ervan af te komen?

Formatteren is zelden nodig om malware te verwijderen. Het gebruik van betrouwbare mobiele beveiligingssoftware zoals Combo Cleaner zou voldoende moeten zijn om Hirudo te detecteren en van uw apparaat te verwijderen zonder uw gegevens te wissen.

Wat zijn de grootste problemen die de Hirudo-malware kan veroorzaken?

Hirudo kan bankinloggegevens stelen, eenmalige wachtwoorden uit sms-berichten onderscheppen en echte bankapps vervangen door gepatchte kopieën die de eigen beveiligingscontroles van de apps van binnenuit uitschakelen.

De malware geeft operators bovendien live controle over het apparaat op afstand, inclusief meekijken op het scherm en toegang tot de camera. Slachtoffers lopen het risico op aanzienlijke financiële verliezen, identiteitsdiefstal en ernstige schendingen van hun privacy.

Wat is het doel van de Hirudo-malware?

De meeste malware-aanvallen zijn gericht op winst, en Hirudo is daarop geen uitzondering. De operators beheren een backend die is gebouwd om gestolen inloggegevens en apparaatgegevens om te zetten in frauduleuze transacties. Desondanks kunnen de motieven van cybercriminelen ook hacktivisme, persoonlijke wrok of geopolitieke doelen omvatten.

Hoe is de Hirudo-malware mijn Android-apparaat binnengedrongen?

Hirudo wordt hoogstwaarschijnlijk geïnstalleerd via een lokapp die is vermomd als een platform voor winkelen, video's of korte drama's. Na het starten tonen deze apps een nep-updateprompt in de app en installeren ze de Hirudo-payload als tweede applicatie. Gebruikers kunnen de malware ook tegenkomen via onofficiële appstores of kwaadaardige advertenties.

Beschermt Combo Cleaner mij tegen malware?

Combo Cleaner kan de overgrote meerderheid van bekende malware-infecties detecteren en verwijderen. Aangezien geavanceerde dreigingen zoals Hirudo zich diep in het apparaat nestelen, wordt het ten zeerste aanbevolen een volledige systeemscan uit te voeren om volledige verwijdering te garanderen.