Trojan Gigabud chowa się przed aplikacjami bankowymi w profilu służbowym Androida

Trojan bankowy Gigabud instaluje na zainfekowanym Androidzie drugą aplikację o nazwie Vwork. Ta zakłada profil służbowy i umieszcza w nim podrobioną aplikację bankową. Group-IB opisała mechanizm w raporcie z 9 września i potwierdziła pełny łańcuch ataku na urządzeniach w Indonezji. Skaner złośliwego oprogramowania w aplikacji bankowej działa wewnątrz profilu służbowego i nie sięga do przestrzeni prywatnej, w której siedzi trojan. Oszukańczy przelew może więc wyglądać na niezwiązany z alertem, który telefon już zgłosił.

Gigabud działa od 2022 roku i daje operatorowi kontrolę nad telefonem na żywo. Group-IB łączy go z grupą GoldFactory. Trafia na telefony jako fałszywa aplikacja linii lotniczej, urzędu skarbowego lub portalu rządowego, instalowana spoza oficjalnego sklepu. Na prawdziwej aplikacji bankowej wyświetla fałszywy ekran logowania, a przelewy wykonuje pod czarnym ekranem.

Każdy etap wymaga działania użytkownika: instalacji spoza oficjalnego sklepu, zgody na ułatwienia dostępu i nakładanie okien oraz utworzenia profilu służbowego, o którym Android informuje przed jego założeniem.