Il trojan bancario Gigabud sfrutta i profili di lavoro Android

Il trojan bancario Gigabud ora usa i profili di lavoro Android per aggirare i controlli anti-malware integrati nelle app bancarie, secondo un rapporto di Group-IB pubblicato il 9 settembre. Un profilo di lavoro è uno spazio separato che Android normalmente riserva alle app controllate dal datore di lavoro, e tutto ciò che contiene è tenuto separato dalla parte personale del telefono. Group-IB afferma che questa separazione nasconde il trojan alle scansioni di sicurezza della stessa app bancaria, così un pagamento fraudolento può sembrare non correlato a un avviso già generato sul dispositivo. L'azienda ha confermato l'intera catena su dispositivi infetti in Indonesia.

La documentazione della piattaforma Android afferma che qualsiasi app nel profilo principale del telefono può avviare la configurazione di un profilo di lavoro, e che all'utente viene spiegato cosa fa un profilo di lavoro prima che venga creato. Group-IB afferma che le app bancarie contengono codice di sicurezza che cerca malware noti sul telefono. Dall'interno di un profilo di lavoro, quella scansione non raggiunge lo spazio personale dove si trova il trojan.

Gigabud è un trojan di accesso remoto (RAT), un malware che dà a un operatore il controllo live del telefono. Group-IB lo collega a un gruppo che chiama GoldFactory. Il trojan raggiunge i telefoni come finta app che si spaccia per una compagnia aerea nazionale, un ufficio delle imposte o un portale governativo, installata al di fuori dello store ufficiale. Al primo avvio chiede l'accesso di Accessibilità, il permesso di disegnare sopra altre app e il permesso di continuare a funzionare in background per risparmiare batteria. Concedere l'accesso di Accessibilità è il momento in cui l'operatore ottiene il controllo reale del dispositivo. Il trojan invia poi all'operatore un elenco di tutte le app sul telefono, così da poter identificare gli obiettivi bancari. Quando la vittima apre la vera app bancaria, una finta schermata di login appare sopra e cattura i tasti premuti. Una seconda sovrapposizione, invisibile all'utente, prende il codice di sblocco dello schermo del telefono. Group-IB afferma che l'operatore può eseguire transazioni sul telefono della vittima toccando e digitando tramite Accessibilità mentre uno schermo nero copre ciò che sta accadendo.

La seconda app si chiama Vwork. Group-IB afferma che la sua architettura e i nomi delle classi corrispondono a Shelter, uno strumento open source che usa la stessa funzione del profilo di lavoro per permettere al proprietario del telefono di isolare o duplicare le app. La differenza è chi ha il controllo. Shelter viene azionato manualmente dalla persona che tiene il telefono. Vwork apre gli stessi compiti ad altre app: impostare un profilo di lavoro, clonare un'app al suo interno, elencare ciò che contiene e aprire un'app all'interno. Group-IB afferma che i controlli che impedivano ad altre app di chiamare quelle funzioni sono stati rimossi, quindi qualsiasi app sul dispositivo può pilotare Vwork. Prima di clonare qualsiasi cosa, Vwork chiede il permesso a un server esterno, e Gigabud porta comandi scritti appositamente per esso. Shelter guida l'utente attraverso diverse schermate prima di creare un profilo, ma Vwork lo riduce a un singolo prompt scritto in cinese.

Sui dispositivi in Indonesia, secondo Group-IB, le installazioni sono arrivate in ordine: prima Gigabud, Vwork entro pochi minuti, poi l'app bancaria manomessa. Nell'unico caso che il rapporto descrive in dettaglio, ciò che è finito nel profilo non era una copia dell'app bancaria della vittima stessa. Group-IB ha detto che la copia era una versione falsa dell'app di una vera banca indonesiana. Group-IB ha analizzato un singolo campione di Vwork e lo ha descritto come ancora in fase di sviluppo attivo. Alcune delle funzioni aggiunte sono instabili e non si comportano come previsto su build Android vicine alla versione open source. Il rapporto non dice su quali telefoni o versioni di Android la tecnica funzioni.

Campioni di Gigabud costruiti per funzionare con Vwork sono stati trovati indirizzati a Brasile, Colombia, Egitto, Indonesia, Laos, Messico, Marocco, Filippine, Thailandia, Turchia e un paese del Consiglio di cooperazione del Golfo che Group-IB non ha nominato. Quelli sono campioni, non infezioni confermate. Solo la catena indonesiana è stata confermata. Tra febbraio e luglio 2026, Group-IB ha contato circa 1.469 dispositivi compromessi e 1.281 login possibilmente compromessi in Indonesia, con perdite stimate di circa 960.000 dollari. I conteggi coprono ciò che Group-IB stessa ha osservato, non l'intero paese, e l'azienda ha detto che mostrano l'attività osservata e non devono essere letti come il quadro completo. Non ha detto quanti di quei dispositivi avessero Vwork. Group-IB collega entrambi gli strumenti a GoldFactory. Ha indicato un ramo del codice di Vwork che fa riferimento ai nomi dei pacchetti di Gigabud, indicatori di rete condivisi dai due e log degli sviluppatori scritti in cinese, e ha detto di non poter pubblicare quegli indicatori.

Controllare un telefono per un profilo di lavoro è semplice. Il profilo di lavoro stesso compare nelle impostazioni del telefono. Le indicazioni di Google per gli utenti Android spiegano dove trovarlo e come eliminarlo. Apri Impostazioni, poi Password e account. Una scheda Lavoro appare lì se il telefono ha un profilo di lavoro. Le app all'interno di un profilo di lavoro mostrano una piccola icona a forma di valigetta sulle loro icone. Per eliminarlo, apri la scheda Lavoro, scegli Rimuovi profilo di lavoro, poi Elimina. Google dice che questo rimuove tutto ciò che è memorizzato nel profilo. Verifica che l'app che ha impostato il profilo sia sparita. Group-IB afferma che Vwork tiene la sua icona fuori dal launcher delle app, anche se compare ancora in un file manager. I passaggi di Google presuppongono che il telefono appartenga alla persona che lo usa, perché l'utente non può rimuovere un profilo di proprietà di un datore di lavoro. Il rapporto di Group-IB non dice se eliminare il profilo pone fine al rischio mentre Gigabud è ancora installato nello spazio personale.

Il consiglio di Group-IB agli utenti è di installare app solo da store ufficiali, rifiutare l'accesso di Accessibilità a qualsiasi app che non sia uno strumento di accessibilità e usare per le app bancarie un secondo fattore che non si basi sugli SMS. Per le banche, i segnali che elenca sono cose che fa il telefono, non file malware noti: un profilo di lavoro che appare su un normale telefono di consumo che nessuno ha impostato, la stessa app bancaria che mostra marcatori di installazione in entrambi i profili, un profilo che non contiene nessuna delle app che una persona avrebbe normalmente, e l'Accessibilità attivata per un'app che non ha motivo di averne bisogno. Vwork è stato trovato durante una precedente ricerca di Group-IB sulla campagna di app bancarie manomesse di GoldFactory nel Sud-est asiatico, pubblicata a dicembre 2025. Group-IB ha detto che Vwork è stato visto in circolazione solo in quella campagna.

Mettere un'app bancaria dentro un contenitore per aggirare le sue difese non è nuovo. Promon ha descritto FjordPhantom nel 2023, che eseguiva una vera app bancaria dentro un contenitore virtuale per poter cambiare il comportamento dell'app dall'interno. Funzionava rompendo il muro che Android mette tra le app. Vwork fa quasi l'opposto, usando un muro che Android già fornisce per mettere il trojan oltre i controlli descritti da Group-IB.

Per le organizzazioni che gestiscono telefoni dei dipendenti o gestiscono portali web rivolti ai clienti, AEU-I fornisce IT, infrastruttura e consulenza orientati alla sicurezza, dove i team possono rivedere le politiche sui dispositivi e sugli accessi rispetto a questo tipo di minaccia.