Site-urile NoaMedia
Cum reușește troianul Android Gigabud să păcălească aplicațiile bancare? Cercetătorii Group-IB au descoperit că malware-ul bancar folosește un profil serviciu Android pentru a se ascunde și controla telefoanele. Această metodă a fost identificată recent pe dispozitive din Indonezia și alte țări, începând cu 2022.
Pe scurt:
- Troianul Android Gigabud ascunde malware bancar în profilul serviciu Android, evitând detectarea aplicațiilor bancare printr-o aplicație auxiliară.
- Gigabud folosește aplicația Vwork pentru a crea un profil serviciu, separând malware-ul de aplicația bancară și sistemele antivirus.
- Malware-ul controlează telefonul prin acces Accessibility, poate înregistra tastările și afișa ecrane false, afectând securitatea utilizatorilor.
- Între februarie și iulie 2026, peste 1.400 de dispozitive au fost compromise, cu pierderi estimate la aproape 960.000 de dolari.
troian Android Gigabud ascunde malware bancar în profilul serviciu Android
Troianul Android Gigabud folosește o metodă neobișnuită pentru a evita detectarea în aplicațiile bancare. Acesta creează un profil serviciu Android separat printr-o aplicație auxiliară, ascunzând astfel malware-ul de verificările de securitate ale băncii.
Cercetătorii Group-IB au identificat că atacatorii folosesc aplicația Vwork pentru a crea un „Work Profile” pe dispozitivele Android. Această funcție, destinată separării aplicațiilor de serviciu de cele personale, este exploatată pentru a masca prezența troianului.
Metoda prin care troianul Android păcălește aplicațiile bancare
Android izolează aplicațiile din profiluri diferite, limitând accesul între ele. Gigabud rămâne în profilul personal, iar Vwork plasează o versiune modificată a aplicației bancare în profilul serviciu. Astfel, verificările antivirus din aplicația bancară nu detectează malware-ul ascuns în profilul personal.
Acest mecanism permite troianului să evite sistemele de securitate și să rămână activ pe dispozitiv fără a fi identificat.
Controlul telefonului prin profil serviciu Android
Gigabud este un malware bancar activ din 2022, care ajunge pe telefoane prin aplicații false ce imită servicii guvernamentale sau companii aeriene. Instalarea se face de obicei din surse externe magazinului oficial.
După instalare, troianul solicită acces la funcțiile Accessibility din Android, obținând astfel control extins asupra dispozitivului. Malware-ul poate monitoriza aplicațiile instalate, afișa ecrane false și înregistra tastările utilizatorului.
Vwork, bazată pe proiectul open-source Shelter, a fost modificată pentru a permite controlul funcțiilor sale de către Gigabud, facilitând astfel operațiunile malware-ului în profilul serviciu Android.
Identificarea unui profil serviciu Android suspect
Profilurile de serviciu apar separat în setările Android și sunt marcate cu o pictogramă în formă de servietă. Dacă un utilizator observă un astfel de profil pe telefonul personal fără să-l fi creat, trebuie să verifice aplicațiile instalate acolo.
Prezența aceleiași aplicații bancare în două profiluri diferite poate indica o tentativă de fraudă. Aplicațiile clonă pot arăta identic cu cele originale, iar diferențele devin vizibile doar după acordarea permisiunilor.
Group-IB a confirmat utilizarea lanțului Gigabud-Vwork pe dispozitive din Indonezia și a identificat mostre compatibile în mai multe țări, inclusiv Brazilia, Columbia și Turcia. Între februarie și iulie 2026, au fost raportate peste 1.400 de dispozitive compromise și pierderi estimate la aproape 960.000 de dolari.
Noa Insight
Troianul Android Gigabud utilizează o metodă avansată pentru a evita detectarea în aplicațiile bancare, ascunzând malware-ul într-un profil serviciu Android creat prin aplicația auxiliară Vwork. Această tehnică exploatează separarea profilurilor Android pentru a masca prezența malware-ului și a controla dispozitivul fără a fi identificat de sistemele de securitate.
Implicații
Metoda folosită de Gigabud afectează securitatea aplicațiilor bancare pe Android, permițând malware-ului să rămână activ și să controleze dispozitivele fără detectare, ceea ce pune în pericol utilizatorii și integritatea tranzacțiilor financiare.
Elemente-cheie
- Profil serviciu Android este o funcție care separă aplicațiile de serviciu de cele personale pe dispozitivele Android.
- Gigabud folosește aplicația Vwork pentru a crea un profil serviciu care ascunde malware-ul de verificările aplicațiilor bancare.
- Troianul solicită acces la funcțiile Accessibility pentru a controla dispozitivul și a monitoriza activitatea utilizatorului.
Sursa originală a acestui articol este https://playtech.ro/2026/noul-troian-android-care-se-ascunde-chiar-de-aplicatia-bancii-gigabud-iti-poate-controla-telefonul-fara-sa-fie-detectat/ (link)
