Bankovní trojan Gigabud nyní instaluje druhou aplikaci pro Android, která na napadeném telefonu vytvoří pracovní profil a vloží do něj upravenou bankovní aplikaci. Pracovní profil je oddělený prostor, který Android obvykle vyhrazuje pro firemní aplikace, a jeho obsah je držen odděleně od všeho v osobním prostoru. Právě toto rozdělení skrývá trojana před vlastními kontrolami škodlivého softwaru v bankovní aplikaci, takže podvodná platba může vypadat, jako by nesouvisela s výstrahou už vyvolanou na telefonu. Group‑IB celý řetězec potvrdila na nakažených zařízeních v Indonésii. Bankovní aplikace podle firmy nesou kód, který na telefonu hledá známý malware – z nitra pracovního profilu však tento sken nedosáhne do osobního prostoru, kde trojan sídlí.
Gigabud je trojan pro vzdálený přístup, který svému operátorovi předává živou kontrolu nad telefonem. Je aktivní od roku 2022 a Group‑IB jej spojuje se skupinou, kterou nazývá GoldFactory. K telefonům se dostává jako falešná aplikace vydávající se za národní aerolinku, daňový úřad či vládní portál, instalovaná mimo oficiální obchod. Při prvním spuštění žádá o přístup k funkcím zpřístupnění (Accessibility), o povolení kreslit přes jiné aplikace a o povolení běžet na pozadí. Udělení přístupu k Accessibility je bodem, kdy operátor získá skutečnou kontrolu nad zařízením. Aplikace poté odešle operátorovi seznam všech aplikací v telefonu, aby bylo možné identifikovat bankovní cíle. Když oběť otevře svou skutečnou bankovní aplikaci, objeví se přes ni falešná přihlašovací obrazovka, která zaznamenává stisky kláves, a druhá, pro uživatele neviditelná vrstva sebere kód zámku obrazovky.
Nástroj Vwork a jak zkontrolovat telefon
Druhá aplikace se jmenuje Vwork a její architektura i názvy tříd odpovídají open‑source nástroji Shelter, který stejnou funkci pracovního profilu využívá k tomu, aby si majitel telefonu izoloval nebo zdvojil aplikace. Rozdíl je v tom, kdo řídí – Shelter ovládá ručně sám držitel telefonu, kdežto Vwork tytéž úkony otevírá jiným aplikacím: založit pracovní profil, naklonovat do něj aplikaci, vypsat, co je uvnitř, a aplikaci otevřít. Kontroly, které bránily jiným aplikacím volat tyto funkce, byly podle Group‑IB odstraněny, takže Vwork může ovládat kterákoli aplikace na zařízení. V jednom podrobně popsaném případě to, co se dostalo do profilu, nebylo duplikátem vlastní bankovní aplikace oběti; Group‑IB uvedla: „kopie byla falešnou verzí aplikace skutečné indonéské banky.“ Vzorky Gigabudu uzpůsobené pro spolupráci s Vwork byly nalezeny cílené na Brazílii, Kolumbii, Egypt, Indonésii, Laos, Mexiko, Maroko, Filipíny, Thajsko, Turecko a jednu blíže neuvedenou zemi Zálivu, potvrzen byl však pouze indonéský řetězec. Mezi únorem a červencem 2026 Group‑IB napočítala v Indonésii asi 1 469 kompromitovaných zařízení a odhadované ztráty kolem 960 000 dolarů.
Samotný pracovní profil se objeví v nastavení telefonu. Uživatel jej najde v Nastavení pod položkou Hesla a účty, kde se při existenci profilu zobrazí záložka Práce; aplikace uvnitř profilu nesou na ikoně malý odznak aktovky. Profil lze odstranit volbou Odebrat pracovní profil, čímž se smaže vše uvnitř. Je vhodné také ověřit, zda zmizela aplikace, která profil zřídila – Vwork totiž svou ikonu z nabídky aplikací skrývá, i když se stále objevuje ve správci souborů. Rada Group‑IB uživatelům zní instalovat aplikace jen z oficiálních obchodů, odmítat přístup k Accessibility u aplikací, které nejsou nástrojem zpřístupnění, a používat u bankovních aplikací druhý faktor, jenž se nespoléhá na SMS.
Zdroj: thehackernews.com
Zdroj: IT SECURITY NETWORK NEWS
