Comment se débarrasser du cheval de Troie bancaire Android Hirudo

Quel type de malware est Hirudo ?

Hirudo est un trojan bancaire Android doté de capacités d'accès à distance. Selon les recherches publiées par l'équipe Mobile Threat Intelligence de ThreatFabric, il combine le vol d'identifiants directement sur l'appareil avec le contrôle à distance en temps réel de l'appareil infecté. Hirudo est distribué par le biais d'applications leurres déguisées en applications de shopping, de vidéos pour adultes ou de mini-séries, et peut remplacer les applications bancaires authentiques par des copies modifiées qui désactivent de l'intérieur les propres contrôles de sécurité des banques.

Aperçu du malware Hirudo

Hirudo repose sur une architecture en deux étapes. La première étape est un dropper, présenté sous la forme d'une application leurre dans des catégories telles que le shopping (Shopora), les vidéos pour adultes (1V1 X) ou les séries courtes (ZoyaTV, KoiShort). Ces applications chargent du contenu réel via une WebView, de sorte que l'expérience paraît légitime et que la victime n'a aucune raison immédiate de se méfier.

Lorsque le dropper s'exécute, il vérifie discrètement si la charge utile de Hirudo est déjà installée. Si ce n'est pas le cas, il affiche une fausse invite de mise à jour intégrée à l'application et propose l'installation de l'APK de la charge utile en tant que seconde application. L'une des variantes analysées active un VPN de type « trou noir » pendant l'installation, coupant le trafic Internet de l'appareil pendant que la charge utile est déployée discrètement en arrière-plan.

Une fois la charge utile active, elle peut intercepter les achats intégrés aux applications. Lorsque le dropper déclenche un paiement, la charge utile affiche par-dessus une fausse page de paiement à l'aide d'une WebView transparente. La page arbore l'image de marque de la banque ou du portefeuille électronique de la victime et prend en charge huit langues. Tout code PIN de paiement saisi par la victime est capturé et envoyé aux opérateurs, tandis qu'un faux message de paiement réussi est renvoyé au dropper.

Au-delà de la fraude au paiement, Hirudo collecte les identifiants de connexion bancaires au moyen d'invites spécifiques à chaque banque pendant que l'utilisateur saisit ses informations. Une fausse superposition de schéma en plein écran capture le schéma de déverrouillage de l'appareil et, dans certaines versions, la charge utile lit le code PIN, le mot de passe ou le schéma saisi sur le véritable écran de verrouillage via les services d'accessibilité d'Android. Le malware permet de visualiser l'écran en direct via WebRTC et active les caméras avant et arrière à la demande.

Hirudo intercepte également les SMS, en analysant 90 jours d'historique lors de la première exécution, puis en surveillant par la suite les expéditeurs bancaires et de portefeuilles configurés. Cela lui permet de voler les mots de passe à usage unique utilisés dans l'authentification à deux facteurs. Le malware tient un registre de 42 applications financières et dispose de remplacements conçus sur mesure pour huit applications bancaires indonésiennes couvrant sept banques.

Le processus de remplacement des applications bancaires commence lorsque Hirudo détecte une application ciblée via l'accessibilité, vérifie son certificat de signature et affiche une fausse invite de mise à jour. Il ouvre ensuite le programme de désinstallation d'Android pour l'application authentique sans attendre la confirmation de l'utilisateur et télécharge en parallèle le remplacement modifié. Étant donné qu'Android bloque l'installation d'une application signée différemment en tant que mise à jour, Hirudo doit d'abord supprimer l'application d'origine.

Le remplacement modifié conserve le nom de paquet et la version d'origine, mais il est signé avec une clé de test Android publique. Une seule ligne injectée dans la classe Application de l'application charge un moteur de hooking autonome reposant sur YAHFA et Dobby, deux frameworks open source permettant de remplacer des méthodes Java et d'intercepter des fonctions natives. Le moteur ne s'active que lorsqu'un fichier déclencheur écrit par le RAT est présent sur l'appareil.

Le moteur s'exécutant au sein même du processus de l'application bancaire, les contrôles de sécurité de l'application sont retournés contre elle. Le hook substitue le véritable certificat de signature pour masquer la signature par clé de test, renvoie une liste vide de services d'accessibilité afin que le service de contrôle soit invisible, et supprime l'indicateur bloquant les captures d'écran pour permettre la visualisation et l'enregistrement à distance de l'écran bancaire.

Les requêtes Play Integrity de l'application modifiée sont relayées en HTTP simple vers un serveur contrôlé par les opérateurs au lieu d'être traitées localement. Le keybox d'attestation embarqué par le moteur est un keybox ayant fuité publiquement, et ThreatFabric a confirmé qu'au moins deux de ses certificats figurent sur la liste de révocation d'attestation de Google en tant que certificats compromis. Les vérifications de révocation côté serveur peuvent donc toujours détecter ses falsifications.

Les leurres de Hirudo sont distribués via Amazon CloudFront, avec des chemins distincts pour chaque famille de leurres et un hôte dédié aux applications bancaires modifiées. La campagne utilise OpenInstall pour l'attribution des installations et associe l'image de marque des leurres aux groupes de campagne via des identifiants Meta Pixel. Un panneau de traitement d'APK utilisé pour reconstruire les leurres était accessible sans authentification, avec des compartiments de stockage cloud et des identifiants laissés exposés.

Les remplacements d'applications bancaires ciblent huit applications indonésiennes de sept banques, mais la portée configurée de Hirudo est plus large. Les cibles d'identifiants mentionnées dans le code couvrent l'Indonésie, la Chine, l'Inde, le Mexique, le Maroc et la Thaïlande, et la fausse page de paiement intégrée arbore l'image de marque de banques et de portefeuilles électroniques malaisiens.

Un backend capturé en août 2026 contenait des milliers d'enregistrements d'identifiants et d'appareils répartis entre des groupes de campagne. Ces enregistrements comprenaient l'historique de l'écran de verrouillage ainsi que des profils financiers avec des champs de revenu mensuel et de score de risque. Les opérateurs avaient annoté certaines entrées comme ayant fait l'objet d'un phishing réussi, ce qui témoigne d'un processus structuré visant à convertir les données volées en transactions frauduleuses.

En résumé, la présence d'un malware comme Hirudo sur un appareil peut entraîner de multiples infections du système, de graves problèmes de confidentialité, des pertes financières importantes et une usurpation d'identité.

Il convient de mentionner que les développeurs de malwares améliorent souvent leurs logiciels et leurs méthodes. Par conséquent, de futures versions de Hirudo pourraient présenter des fonctionnalités supplémentaires ou différentes.

Exemples de chevaux de Troie bancaires Android

Hirudo est un exemple notable de la manière dont les chevaux de Troie bancaires Android modernes ont évolué au-delà des simples attaques par superposition pour intégrer des techniques de remplacement d'applications et un contrôle total de l'appareil à distance. Parmi les autres exemples de chevaux de Troie bancaires Android figurent RemControl, Rokarolla et OverlayPhantom.

Les programmes malveillants varient considérablement dans leur conception et leur finalité. Qu'il s'agisse de générer des gains financiers, de voler des données personnelles ou d'accorder aux criminels un accès à distance persistant à un appareil, toutes ces menaces doivent être supprimées dès leur découverte.

Comment Hirudo s'est-il infiltré dans mon appareil ?

Hirudo atteint ses victimes par le biais d'applications leurres qui ressemblent à des plateformes légitimes de shopping, de vidéos pour adultes ou de séries courtes. Ces applications sont distribuées via des réseaux publicitaires et servies par Amazon CloudFront. ThreatFabric a noté que certains chemins de téléchargement étaient encore actifs en octobre 2026.

Une fois l'application leurre installée, elle affiche une fausse invite de mise à jour intégrée et installe la charge utile de Hirudo en tant que seconde application. Les utilisateurs doivent se méfier de toute application qui demande l'installation de paquets supplémentaires en dehors du Google Play Store officiel.

Plus généralement, les cybercriminels distribuent des malwares par de nombreux canaux : messages de phishing, publicités malveillantes, fausses invites de mise à jour et boutiques d'applications non officielles. Rester vigilant face aux demandes d'installation inattendues est l'une des mesures les plus efficaces que les utilisateurs puissent prendre pour éviter une infection.

Comment éviter l'installation de malwares ?

Téléchargez des applications uniquement depuis le Google Play Store officiel et les sites web de développeurs vérifiés. Lisez toujours les avis des utilisateurs et vérifiez les autorisations demandées par une application avant de l'installer. Méfiez-vous particulièrement de toute application qui vous invite à installer des logiciels supplémentaires après son lancement, car il s'agit d'une tactique couramment utilisée par les malwares de type dropper.

Maintenez à jour votre système d'exploitation Android et toutes les applications installées, car les mises à jour incluent fréquemment des correctifs de sécurité qui corrigent des vulnérabilités connues. L'utilisation d'un logiciel de sécurité mobile réputé et l'exécution d'analyses régulières réduisent également les risques. Évitez de cliquer sur les liens contenus dans des SMS, des e-mails ou des publications sur les réseaux sociaux non sollicités, car ils peuvent mener à des pages distribuant des APK malveillants.

Fausse superposition de paiement de Hirudo, affichée avec l'image de marque de Maybank, positionnée de manière transparente sur l'écran de commande du dropper afin de capturer les codes PIN de paiement (source : ThreatFabric) :

Menu rapide :

• Introduction
• Comment supprimer l'historique de navigation du navigateur web Chrome ?
• Comment désactiver les notifications du navigateur web Chrome ?
• Comment réinitialiser le navigateur web Chrome ?
• Comment supprimer l'historique de navigation du navigateur web Firefox ?
• Comment désactiver les notifications du navigateur web Firefox ?
• Comment réinitialiser le navigateur web Firefox ?
• Comment désinstaller les applications potentiellement indésirables et/ou malveillantes ?
• Comment démarrer l'appareil Android en « Mode sans échec » ?
• Comment vérifier la consommation de batterie des différentes applications ?
• Comment vérifier la consommation de données des différentes applications ?
• Comment installer les dernières mises à jour logicielles ?
• Comment réinitialiser le système à son état par défaut ?
• Comment désactiver les applications disposant de privilèges d'administrateur ?

Supprimer l'historique de navigation du navigateur web Chrome :

Appuyez sur le bouton « Menu » (trois points dans le coin supérieur droit de l'écran) et sélectionnez « Historique » dans le menu déroulant qui s'ouvre.

Appuyez sur « Effacer les données de navigation », sélectionnez l'onglet « AVANCÉ », choisissez la période et les types de données que vous souhaitez supprimer, puis appuyez sur « Effacer les données ».

[Retour à la Table des Matières]

Désactiver les notifications du navigateur web Chrome :

Appuyez sur le bouton « Menu » (trois points dans le coin supérieur droit de l'écran) et sélectionnez « Paramètres » dans le menu déroulant qui s'ouvre.

Faites défiler vers le bas jusqu'à l'option « Paramètres des sites » et appuyez dessus. Faites défiler vers le bas jusqu'à l'option « Notifications » et appuyez dessus.

Trouvez les sites web qui affichent des notifications de navigateur, appuyez dessus et cliquez sur « Effacer et réinitialiser ». Cela supprimera les autorisations accordées à ces sites web pour afficher des notifications. Toutefois, lorsque vous visiterez à nouveau le même site, il pourra vous redemander l'autorisation. Vous pouvez choisir d'accorder ou non ces autorisations (si vous refusez, le site web sera placé dans la section « Bloqués » et ne vous demandera plus l'autorisation).

[Retour à la Table des Matières]

Réinitialiser le navigateur web Chrome :

Accédez aux « Paramètres », faites défiler vers le bas jusqu'à « Applications » et appuyez dessus.

Faites défiler vers le bas jusqu'à l'application « Chrome », sélectionnez-la et appuyez sur l'option « Stockage ».

Appuyez sur « GÉRER LE STOCKAGE », puis sur « EFFACER TOUTES LES DONNÉES » et confirmez l'action en appuyant sur « OK ». Notez que la réinitialisation du navigateur supprimera toutes les données qui y sont stockées. Cela signifie que tous les identifiants/mots de passe enregistrés, l'historique de navigation, les paramètres non définis par défaut et les autres données seront supprimés. Vous devrez également vous reconnecter à tous les sites web.

[Retour à la Table des Matières]

Supprimer l'historique de navigation du navigateur web Firefox :

Appuyez sur le bouton « Menu » (trois points dans le coin supérieur droit de l'écran) et sélectionnez « Historique » dans le menu déroulant qui s'ouvre.

Faites défiler vers le bas jusqu'à « Effacer les données privées » et appuyez dessus. Sélectionnez les types de données que vous souhaitez supprimer et appuyez sur « EFFACER LES DONNÉES ».

[Retour à la Table des Matières]

Désactiver les notifications du navigateur web Firefox :

Visitez le site web qui affiche des notifications de navigateur, appuyez sur l'icône affichée à gauche de la barre d'adresse (l'icône ne sera pas nécessairement un « Cadenas ») et sélectionnez « Modifier les paramètres du site ».

Dans la fenêtre contextuelle qui s'ouvre, cochez l'option « Notifications » et appuyez sur « EFFACER ».

[Retour à la Table des Matières]

Réinitialiser le navigateur web Firefox :

Accédez aux « Paramètres », faites défiler vers le bas jusqu'à « Applications » et appuyez dessus.

Faites défiler vers le bas jusqu'à l'application « Firefox », sélectionnez-la et appuyez sur l'option « Stockage ».

Appuyez sur « EFFACER LES DONNÉES » et confirmez l'action en appuyant sur « SUPPRIMER ». Notez que la réinitialisation du navigateur supprimera toutes les données qui y sont stockées. Cela signifie que tous les identifiants/mots de passe enregistrés, l'historique de navigation, les paramètres non définis par défaut et les autres données seront supprimés. Vous devrez également vous reconnecter à tous les sites web.

[Retour à la Table des Matières]

Désinstaller les applications potentiellement indésirables et/ou malveillantes :

Accédez aux « Paramètres », faites défiler vers le bas jusqu'à « Applications » et appuyez dessus.

Faites défiler vers le bas jusqu'à ce que vous trouviez une application potentiellement indésirable et/ou malveillante, sélectionnez-la et appuyez sur « Désinstaller ». Si, pour une raison quelconque, vous ne parvenez pas à supprimer l'application sélectionnée (par exemple, un message d'erreur s'affiche), essayez d'utiliser le « Mode sans échec ».

[Retour à la Table des Matières]

Démarrer l'appareil Android en « Mode sans échec » :

Le « Mode sans échec » du système d'exploitation Android empêche temporairement l'exécution de toutes les applications tierces. L'utilisation de ce mode est un bon moyen de diagnostiquer et de résoudre divers problèmes (par exemple, supprimer des applications malveillantes qui empêchent les utilisateurs de le faire lorsque l'appareil fonctionne « normalement »).

Appuyez sur le bouton « Marche/Arrêt » et maintenez-le enfoncé jusqu'à ce que l'écran « Éteindre » s'affiche. Appuyez sur l'icône « Éteindre » et maintenez-la enfoncée. Après quelques secondes, l'option « Mode sans échec » apparaîtra et vous pourrez l'activer en redémarrant l'appareil.

[Retour à la Table des Matières]

Vérifier la consommation de batterie des différentes applications :

Accédez aux « Paramètres », faites défiler vers le bas jusqu'à « Maintenance de l'appareil » et appuyez dessus.

Appuyez sur « Batterie » et vérifiez la consommation de chaque application. Les applications légitimes/authentiques sont conçues pour consommer le moins d'énergie possible afin d'offrir la meilleure expérience utilisateur et d'économiser la batterie. Par conséquent, une consommation de batterie élevée peut indiquer que l'application est malveillante.

[Retour à la Table des Matières]

Vérifier la consommation de données des différentes applications :

Accédez aux « Paramètres », faites défiler vers le bas jusqu'à « Connexions » et appuyez dessus.

Faites défiler vers le bas jusqu'à « Utilisation des données » et sélectionnez cette option. Comme pour la batterie, les applications légitimes/authentiques sont conçues pour réduire autant que possible la consommation de données. Cela signifie qu'une consommation de données très importante peut indiquer la présence d'une application malveillante. Notez que certaines applications malveillantes peuvent être conçues pour fonctionner uniquement lorsque l'appareil est connecté à un réseau sans fil. C'est pourquoi vous devez vérifier à la fois la consommation de données mobiles et Wi-Fi.

Si vous trouvez une application qui consomme beaucoup de données alors que vous ne l'utilisez jamais, nous vous conseillons vivement de la désinstaller dès que possible.

[Retour à la Table des Matières]

Installer les dernières mises à jour logicielles :

Maintenir les logiciels à jour est une bonne pratique en matière de sécurité des appareils. Les fabricants d'appareils publient continuellement divers correctifs de sécurité et mises à jour Android afin de corriger les erreurs et les bugs pouvant être exploités par les cybercriminels. Un système obsolète est bien plus vulnérable, c'est pourquoi vous devez toujours vous assurer que le logiciel de votre appareil est à jour.

Accédez aux « Paramètres », faites défiler vers le bas jusqu'à « Mise à jour logicielle » et appuyez dessus.

Appuyez sur « Télécharger les mises à jour manuellement » et vérifiez si des mises à jour sont disponibles. Si c'est le cas, installez-les immédiatement. Nous vous recommandons également d'activer l'option « Télécharger les mises à jour automatiquement » - elle permettra au système de vous avertir dès qu'une mise à jour est publiée et/ou de l'installer automatiquement.

[Retour à la Table des Matières]

Réinitialiser le système à son état par défaut :

Effectuer une « Réinitialisation des données d'usine » est un bon moyen de supprimer toutes les applications indésirables, de restaurer les paramètres par défaut du système et de nettoyer l'appareil en général. Cependant, gardez à l'esprit que toutes les données de l'appareil seront supprimées, y compris les photos, les fichiers vidéo/audio, les numéros de téléphone (stockés dans l'appareil, et non sur la carte SIM), les SMS, etc. En d'autres termes, l'appareil sera restauré à son état d'origine.

Vous pouvez également restaurer uniquement les paramètres de base du système et/ou simplement les paramètres réseau.

Accédez aux « Paramètres », faites défiler vers le bas jusqu'à « À propos du téléphone » et appuyez dessus.

Faites défiler vers le bas jusqu'à « Réinitialiser » et appuyez dessus. Choisissez ensuite l'action que vous souhaitez effectuer :
« Réinitialiser les paramètres » - restaurer tous les paramètres du système par défaut ;
« Réinitialiser les paramètres réseau » - restaurer tous les paramètres liés au réseau par défaut ;
« Réinitialisation des données d'usine » - réinitialiser l'ensemble du système et supprimer complètement toutes les données stockées ;

[Retour à la Table des Matières]

Désactiver les applications disposant de privilèges d'administrateur :

Si une application malveillante obtient des privilèges d'administrateur, elle peut gravement endommager le système. Pour assurer la sécurité maximale de l'appareil, vous devez toujours vérifier quelles applications disposent de tels privilèges et désactiver celles qui ne devraient pas en avoir.

Accédez aux « Paramètres », faites défiler vers le bas jusqu'à « Écran de verrouillage et sécurité » et appuyez dessus.

Faites défiler vers le bas jusqu'à « Autres paramètres de sécurité », appuyez dessus, puis appuyez sur « Applications d'administration de l'appareil ».

Identifiez les applications qui ne devraient pas disposer de privilèges d'administrateur, appuyez dessus, puis appuyez sur « DÉSACTIVER ».

Foire aux questions (FAQ)

Mon appareil Android est infecté par le malware Hirudo, dois-je formater mon périphérique de stockage pour m'en débarrasser ?

Le formatage est rarement nécessaire pour supprimer un malware. L'utilisation d'un logiciel de sécurité mobile réputé comme Combo Cleaner devrait suffire à détecter et à supprimer Hirudo de votre appareil sans effacer vos données.

Quels sont les principaux problèmes que le malware Hirudo peut causer ?

Hirudo peut voler des identifiants bancaires, intercepter des mots de passe à usage unique contenus dans des SMS et remplacer des applications bancaires authentiques par des copies modifiées qui désactivent de l'intérieur les propres contrôles de sécurité des applications.

Il donne également aux opérateurs un contrôle à distance en direct de l'appareil, y compris la visualisation de l'écran et l'accès aux caméras. Les victimes s'exposent à des pertes financières importantes, à une usurpation d'identité et à de graves atteintes à leur vie privée.

Quel est l'objectif du malware Hirudo ?

La plupart des attaques de malwares sont motivées par le profit, et Hirudo ne fait pas exception. Ses opérateurs disposent d'un backend conçu pour convertir les identifiants et les données d'appareils volés en transactions frauduleuses. Cela dit, les motivations des cybercriminels peuvent également inclure l'hacktivisme, des rancunes personnelles ou des objectifs géopolitiques.

Comment le malware Hirudo s'est-il infiltré dans mon appareil Android ?

Hirudo est très probablement installé via une application leurre déguisée en plateforme de shopping, de vidéos ou de séries courtes. Après leur lancement, ces applications affichent une fausse invite de mise à jour intégrée et installent la charge utile de Hirudo en tant que seconde application. Les utilisateurs peuvent également le rencontrer sur des boutiques d'applications non officielles ou via des publicités malveillantes.

Combo Cleaner me protégera-t-il contre les malwares ?

Combo Cleaner est capable de détecter et d'éliminer la grande majorité des infections de malwares connues. Étant donné que les menaces sophistiquées comme Hirudo s'intègrent profondément dans l'appareil, il est vivement recommandé d'effectuer une analyse complète du système afin de garantir une suppression totale.