Namun, aplikasi tersebut menyimpan komponen berbahaya. Saat dibuka, pengguna dapat menerima pemberitahuan pembaruan palsu yang mengarahkan pemasangan malware tambahan.
Hirudo kemudian meminta izin sensitif, termasuk Accessibility atau aksesibilitas Android. Jika diberikan, izin ini dapat disalahgunakan untuk membaca layar, menekan tombol, dan menjalankan perintah tanpa sepengetahuan korban.
ThreatFabric menemukan Hirudo memiliki daftar 42 aplikasi keuangan yang menjadi target. Delapan aplikasi perbankan Indonesia bahkan sudah memiliki APK pengganti khusus.
Ketika mendeteksi aplikasi bank yang menjadi sasaran, Hirudo menampilkan pemberitahuan update palsu dan mencoba mengarahkan korban menghapus aplikasi resmi.
Malware kemudian berusaha memasang aplikasi pengganti yang telah dimodifikasi, menggunakan nama paket dan nomor versi yang sama agar terlihat seperti aplikasi asli.
Meski demikian, proses ini tidak sepenuhnya otomatis. Android mengharuskan aplikasi dengan tanda tangan digital berbeda dipasang setelah aplikasi asli dihapus, sehingga pengguna masih berkesempatan menghentikannya.
Setelah terpasang, aplikasi berbahaya menggunakan teknik hooking berbasis YAHFA dan Dobby untuk memanipulasi pemeriksaan keamanan, termasuk tanda tangan digital, Accessibility, perekaman layar, dan Google Play Integrity.
