Gigabud-Banking-Trojaner missbraucht Android-Arbeitsprofile

Der Gigabud-Banking-Trojaner nutzt jetzt Android-Arbeitsprofile, um an den in Banking-Apps integrierten Malware-Prüfungen vorbeizukommen, so ein am 9. September veröffentlichter Bericht von Group-IB. Ein Arbeitsprofil ist ein separater Bereich, den Android normalerweise für arbeitgeberkontrollierte Apps reserviert, und alles darin ist vom persönlichen Teil des Telefons getrennt. Group-IB sagt, dass diese Trennung den Trojaner vor den eigenen Sicherheitsscans der Banking-App verbirgt, sodass eine betrügerische Zahlung unabhängig von einem bereits auf dem Gerät ausgelösten Alarm erscheinen kann. Das Unternehmen bestätigte die vollständige Kette auf infizierten Geräten in Indonesien.

Die Plattformdokumentation von Android besagt, dass jede App im Hauptprofil des Telefons die Einrichtung eines Arbeitsprofils starten kann und dass dem Nutzer vor der Erstellung eines Arbeitsprofils erklärt wird, was es bewirkt. Group-IB sagt, Banking-Apps enthalten Sicherheitscode, der nach bekannter Malware auf dem Telefon sucht. Aus einem Arbeitsprofil heraus erreicht dieser Scan nicht den persönlichen Bereich, in dem der Trojaner sitzt.

Gigabud ist ein Remote-Access-Trojaner (RAT), Malware, die einem Operator die Live-Kontrolle über das Telefon gibt. Group-IB verbindet ihn mit einer Gruppe, die es GoldFactory nennt. Der Trojaner erreicht Telefone als gefälschte App, die sich als nationale Fluggesellschaft, Steuerbehörde oder Regierungsportal ausgibt und außerhalb des offiziellen Stores installiert wird. Beim ersten Start fragt er nach Accessibility-Zugriff, der Berechtigung, über andere Apps zu zeichnen, und der Berechtigung, im Hintergrund weiterzulaufen, um Akku zu sparen. Die Gewährung des Accessibility-Zugriffs ist der Moment, in dem der Operator echte Kontrolle über das Gerät erlangt. Der Trojaner sendet dem Operator dann eine Liste aller Apps auf dem Telefon, damit Banking-Ziele identifiziert werden können. Wenn das Opfer die echte Banking-App öffnet, erscheint ein gefälschter Anmeldebildschirm darüber und erfasst Tastatureingaben. Ein zweites Overlay, für den Nutzer unsichtbar, nimmt den Sperrbildschirm-Code des Telefons ab. Group-IB sagt, der Operator kann Transaktionen auf dem Telefon des Opfers ausführen, indem er per Accessibility tippt und tippt, während ein schwarzer Bildschirm das Geschehen verdeckt.

Die zweite App heißt Vwork. Group-IB sagt, ihre Architektur und Klassennamen stimmen mit Shelter überein, einem Open-Source-Tool, das dieselbe Arbeitsprofil-Funktion nutzt, damit der Besitzer eines Telefons Apps isolieren oder duplizieren kann. Der Unterschied ist, wer die Kontrolle hat. Shelter wird von Hand von der Person bedient, die das Telefon hält. Vwork öffnet dieselben Aufgaben für andere Apps: ein Arbeitsprofil einrichten, eine App hineinklonen, auflisten, was sich darin befindet, und eine App darin öffnen. Group-IB sagt, die Prüfungen, die andere Apps daran hinderten, diese Funktionen aufzurufen, wurden entfernt, sodass jede App auf dem Gerät Vwork steuern kann. Bevor es etwas klont, fragt Vwork einen externen Server um Erlaubnis, und Gigabud enthält speziell dafür geschriebene Befehle. Shelter führt einen Nutzer durch mehrere Bildschirme, bevor ein Profil erstellt wird, aber Vwork reduziert das auf eine einzige Aufforderung in chinesischer Sprache.

Auf Geräten in Indonesien, so Group-IB, kamen die Installationen in dieser Reihenfolge: zuerst Gigabud, Vwork innerhalb von Minuten, dann die manipulierte Banking-App. In dem einen Fall, den der Bericht ausführlich beschreibt, war das, was in das Profil gelangte, keine Kopie der eigenen Banking-App des Opfers. Group-IB sagte, die Kopie sei eine gefälschte Version der App einer echten indonesischen Bank gewesen. Group-IB analysierte eine einzelne Vwork-Probe und beschrieb sie als noch in aktiver Entwicklung befindlich. Einige der hinzugefügten Funktionen sind instabil und verhalten sich auf Android-Builds nahe der Open-Source-Version nicht wie beabsichtigt. Der Bericht sagt nicht, auf welchen Telefonen oder Android-Versionen die Technik funktioniert.

Gigabud-Proben, die für die Zusammenarbeit mit Vwork gebaut wurden, wurden mit Zielrichtung auf Brasilien, Kolumbien, Ägypten, Indonesien, Laos, Mexiko, Marokko, die Philippinen, Thailand, die Türkei und ein Land des Golf-Kooperationsrats, das Group-IB nicht nannte, gefunden. Das sind Proben, keine bestätigten Infektionen. Nur die indonesische Kette wurde bestätigt. Zwischen Februar und Juli 2026 zählte Group-IB in Indonesien etwa 1.469 kompromittierte Geräte und 1.281 möglicherweise kompromittierte Logins mit geschätzten Verlusten von etwa 960.000 US-Dollar. Die Zahlen decken ab, was Group-IB selbst beobachtet hat, nicht das Land als Ganzes, und das Unternehmen sagte, sie zeigten beobachtete Aktivität und sollten nicht als das vollständige Bild gelesen werden. Es sagte nicht, wie viele dieser Geräte Vwork installiert hatten. Group-IB verbindet beide Tools mit GoldFactory. Es verwies auf einen Zweig von Vworks Code, der Gigabud-Paketnamen referenziert, auf Netzwerkindikatoren, die beide teilen, und auf in Chinesisch verfasste Entwicklerprotokolle, und sagte, es könne diese Indikatoren nicht veröffentlichen.

Ein Telefon auf ein Arbeitsprofil zu prüfen, ist unkompliziert. Das Arbeitsprofil selbst erscheint in den Einstellungen des Telefons. Googles Anleitung für Android-Nutzer beschreibt, wo man es findet und wie man es löscht. Öffnen Sie Einstellungen, dann Passwörter und Konten. Dort erscheint ein Arbeits-Tab, wenn das Telefon ein Arbeitsprofil hat. Apps innerhalb eines Arbeitsprofils zeigen ein kleines Aktenkoffer-Symbol auf ihren Icons. Um es zu löschen, öffnen Sie den Arbeits-Tab, wählen Sie Arbeitsprofil entfernen, dann Löschen. Google sagt, dies entfernt alles, was im Profil gespeichert ist. Prüfen Sie, dass die App, die das Profil eingerichtet hat, verschwunden ist. Group-IB sagt, Vwork halte sein Icon aus dem App-Launcher heraus, obwohl es in einem Dateimanager noch auftaucht. Googles Schritte gehen davon aus, dass das Telefon der Person gehört, die es benutzt, weil der Nutzer ein Profil, das einem Arbeitgeber gehört, nicht entfernen kann. Der Bericht von Group-IB sagt nicht, ob das Löschen des Profils das Risiko beendet, solange Gigabud noch im persönlichen Bereich installiert ist.

Group-IBs Rat an Nutzer ist, Apps nur aus offiziellen Stores zu installieren, den Accessibility-Zugriff für jede App zu verweigern, die kein Accessibility-Tool ist, und für Banking-Apps einen zweiten Faktor zu verwenden, der nicht auf SMS beruht. Für Banken sind die Anzeichen, die es auflistet, Dinge, die das Telefon tut, statt bekannte Malware-Dateien: ein Arbeitsprofil, das auf einem gewöhnlichen Verbrauchertelefon auftaucht, das niemand eingerichtet hat, dieselbe Banking-App, die Installationsmarkierungen in beiden Profilen zeigt, ein Profil, das keine der Apps enthält, die eine Person normalerweise hätte, und Accessibility, das für eine App eingeschaltet ist, die keinen Grund hat, es zu brauchen. Vwork wurde während früherer Group-IB-Forschung zu GoldFactorys Kampagne manipulierter Banking-Apps in Südostasien entdeckt, veröffentlicht im Dezember 2025. Group-IB sagte, Vwork sei in freier Wildbahn nur in dieser Kampagne gesehen worden.

Eine Banking-App in einen Container zu stecken, um ihre Abwehr zu umgehen, ist nicht neu. Promon beschrieb 2023 FjordPhantom, das eine echte Banking-App in einem virtuellen Container laufen ließ, um ihr Verhalten von innen ändern zu können. Das funktionierte, indem es die Mauer durchbrach, die Android zwischen Apps setzt. Vwork macht fast das Gegenteil und nutzt eine Mauer, die Android bereits bietet, um den Trojaner jenseits der von Group-IB beschriebenen Prüfungen zu platzieren.

Für Organisationen, die Mitarbeitertelefone verwalten oder kundenorientierte Webportale betreiben, bietet AEU-I sicherheitsorientierte IT, Infrastruktur und Beratung, wo Teams Geräte- und Zugriffsrichtlinien gegen diese Art von Bedrohung überprüfen können.