Hirudo 安卓恶意软件替换银行应用窃取凭据，VPN 无法阻止终端篡改

据来源标注于 2026 年 10 月 14 日发布的报道，一款名为 Hirudo 的新型 Android 恶意软件通过替换合法银行应用窃取银行账户凭据。来源摘要显示，攻击者使用经过修改的应用版本取代原版，并在修改版中禁用安全检查。对于使用手机银行、同时依赖 VPN 保护联网隐私的用户，这一事件提示：网络连接受到保护，不等于手机上的应用本身可信。

攻击焦点是银行应用本身，而非仅仅监听网络

根据现有摘要，Hirudo 的关键手法是让银行应用被修改版取代，使原本应当发挥作用的安全检查失效，再窃取账户凭据。这与单纯在公共网络中截取通信内容不同：风险发生在用户输入敏感信息的终端应用层。即使用户认为自己正在使用熟悉的银行服务，应用实际运行的代码也可能已经改变。

目前提供的来源信息没有交代其具体传播渠道、完成替换所需的权限、涉及哪些银行，以及受影响设备范围，因此不宜把某一种安装行为或某个地区直接认定为此次攻击的目标。能够确认的核心风险是，合法应用的身份与外观不能单独证明其完整性；如果应用已经被篡改，用户输入的银行账户凭据就可能落入攻击者手中。

对 VPN 用户的影响：加密隧道不能修复恶意应用

VPN 主要保护设备与 VPN 服务端之间的网络传输，有助于降低不可信网络环境中的部分隐私风险。但它不会自动验证银行应用是否为官方原版，也不能恢复被恶意修改版禁用的安全检查。若敏感信息在进入正常通信流程前就被恶意代码获取，单靠切换网络或开启 VPN，无法消除这一终端风险。

因此，VPN 应当被视为隐私防护的一层，而不是手机银行安全的替代品。对于 Hirudo 这类以应用替换为核心的威胁，更重要的是核实应用来源、关注异常安装或更新提示，并避免把“连接已加密”误解为“设备没有被入侵”。

用户现在可以检查哪些事项

• 仅通过银行明确认可的渠道获取应用或更新，遇到要求另行安装银行应用的消息时，先通过独立渠道核实。
• 如果银行应用突然要求重新安装、出现异常登录流程或索取不合理权限，应暂停输入账户凭据，不要仅凭图标和名称判断真伪。
• 保持 Android 系统与应用更新，不为来历不明的软件随意开放敏感权限，也不要按陌生指引关闭安全保护。
• 若怀疑已在异常应用中输入凭据，应改用可信设备联系银行，按银行指引修改相关凭据、检查交易记录并采取账户保护措施。

上述措施属于针对终端恶意软件的一般防护建议，并非来源已确认的 Hirudo 专属处置流程。此次报道的警示在于：隐私保护必须同时覆盖传输链路、应用可信度与账户安全。在更多技术细节披露前，用户应优先守住应用安装与更新入口；已经出现可疑迹象时，不要把重新连接 VPN 当作清除恶意软件的办法。