Gigabud sposta il furto bancario nel Work Profile: il malware…

Il trojan Android Gigabud usa Vwork, fork weaponizzato di Shelter, per clonare app bancarie in Work Profile nascosti. Group-IB: le firme nel profilo personale non

Una banca controlla il dispositivo, trova pulito, approva il trasferimento. Il problema è che sta guardando nel profilo sbagliato.

Il gruppo GoldFactory ha equipaggiato il trojan Android Gigabud con Vwork, un fork weaponizzato dell'app cloner open-source Shelter. Secondo la ricerca di Group-IB — riportata da Infosecurity Magazine, Cyber Security News e GBHackers — Vwork clona app bancarie in un Android Work Profile nascosto e isola le sessioni fraudolente dalla rilevazione basata su firme nel profilo personale.

"the point is detection isolation" — Group-IB via Infosecurity Magazine

La conferma della catena di infezione completa è attestata per il solo mercato indonesiano, dove i ricercatori hanno osservato la compromissione di circa 1.469 dispositivi tra febbraio e luglio 2026.

Punti chiave

Vwork è un fork weaponizzato di Shelter, app cloner open-source legittima, modificato da GoldFactory per esporre funzioni di cloning come API richiamabili programmaticamente senza interazione dell'utente.
Il package name net.yy.vwork è referenziato nei sample Gigabud, che comandano Vwork tramite tre istruzioni C2 dedicate: initVwa per provisionare il profilo, cloneApp per duplicare l'app bancaria target e uploadCloneApps per esfiltrare l'elenco.
Il cloning richiede un token da server di autorizzazione esterno recuperato da Gigabud, indicando progettazione intenzionale del toolkit.
In Indonesia, febbraio-luglio 2026, Group-IB ha rilevato circa 1.281 login potenzialmente compromessi e perdite stimate di circa 960.939 dollari, cifre che il gruppo definisce esplicitamente indicative e non rappresentative dello scope completo.

Come Vwork trasforma Shelter in strumento di evasione

Shelter è un'applicazione open-source legittima che sfrutta l'API Android Work Profile per clonare app in un ambiente isolato, tipicamente per separare dati personali e aziendali su dispositivi BYOD. Group-IB identifica Vwork come fork weaponizzato con modifiche operative specifiche: rimuove le restrizioni di interazione cross-profile, altera il comportamento di condivisione file, supporta sideloading, limita il servizio Accessibility nel profilo provisionato e nasconde la propria icona dal launcher.

La modifica decisiva riguarda l'esposizione delle funzioni di cloning come interfaccia API. Shelter richiede l'interazione diretta dell'utente; Vwork permette a Gigabud di invocare il cloning da remoto tramite comandi C2 con prefisso vwa- per identificatori app. Questo cambio trasforma uno strumento di produttività in componente silenzioso di un'infrastruttura criminale.

La cecità delle firme quando il profilo cambia

"apps in one profile are largely invisible to signature-based detection in another, so an alert raised in the personal profile does not fire in a work profile created afterwards" — Group-IB via Infosecurity Magazine

Il Work Profile di Android è architetturalmente progettato per garantire isolamento: app, dati e permessi restano confinati in un silo separato dal profilo personale. Group-IB sottolinea che questa separazione, intesa come misura di sicurezza enterprise, diventa per GoldFactory uno strumento di "lavaggio" delle sessioni fraudolente.

Un'app bancaria clonata nel profilo di lavoro appare alla banca come installazione fresca su dispositivo pulito, mentre il malware che ha orchestrato il cloning rimane nel profilo personale con i suoi permessi di accessibility e overlay. I sistemi di sicurezza che monitorano il profilo personale non propagano alert nel Work Profile successivamente creato. Non è un bug da patchare: è un abuso di architettura legittima.

La catena di attacco e i dati osservati

Gigabud si diffonde tramite phishing con siti, messenger e social media che impersonano app di compagnie aeree, autorità fiscali o governative. All'avvio richiede accessibility access, overlay permission ed esenzione dalla gestione batteria. Durante la frode, uno schermo nero nasconde l'attività mentre fake login screen catturano credenziali e overlay invisibili intercettano i codici di sblocco.

I sample compatibili con Vwork targettano 11 paesi: Brasile, Colombia, Egitto, Indonesia, Laos, Messico, Marocco, Filippine, Thailandia, Turchia e uno stato del GCC non specificato. Tuttavia, la conferma della catena di infezione completa con Vwork è limitata all'Indonesia. In quel mercato, nel periodo febbraio-luglio 2026, Group-IB ha osservato circa 1.469 dispositivi compromessi, circa 1.281 login potenzialmente compromessi e perdite stimate di circa 960.939 dollari. La fonte sottolinea che queste cifre "reflect observed activity rather than the full scope".

Cosa fare adesso

Group-IB ha identificato sei segnali comportamentali per rilevare l'abuso cross-profile di Vwork. Le istituzioni finanziarie che operano nei mercati targettati dovrebbero integrarli nei propri sistemi di fraud detection.

Primo: monitorare la creazione di work profile non configurati dall'utente su dispositivi con app bancarie installate. Secondo: rilevare marker di app bancarie presenti in entrambi i profili con stesso identificatore ma diverso stato di installazione. Terzo: segnalare ambienti isolati vuoti o con singola app bancaria senza corrispondenza enterprise. Quarto: flaggare pattern di accessibility abuse concentrati nel profilo personale a ridosso della creazione work profile. Quinto: correlare overlay permission persistenti con esenzioni batteria in app non bancarie. Sesto: verificare la presenza del package net.yy.vwork o prefissi vwa- nei log di sistema.

Per gli utenti, la linea difensiva rimane il rifiuto sistematico di permission di accessibility e overlay da app non verificate, indipendentemente dalla presunta fonte. Il phishing che veicola Gigabud imita compagnie aeree e autorità fiscali: nessuna di queste entità richiede mai accessibility access.

Perché è importante

Le banche hanno speso milioni in app attestation e rilevamento basato su firme. Vwork le rende cieche per design, non per vulnerabilità. Il Work Profile è una funzione Android enterprise legittima; il problema è che le difese bancarie sono costruite per assumere che un dispositivo pulito nel profilo personale significhi un utente legittimo.

Il token esterno richiesto per il cloning indica che GoldFactory ha progettato Vwork come toolkit integrato, non come sfruttamento opportunistico. Questo livello di ingegneria suggerisce che la tattica cross-profile verrà replicata e affinata. L'indonesia è il primo mercato confermato; gli altri 10 paesi targettati restano esposti.

La misura del rischio non sta nei soli 960.939 dollari osservati, cifra che Group-IB definisce esplicitamente non rappresentativa. Sta nella dimostrazione che l'isolamento architetturale di Android, quando weaponizzato, può annullare intere categorie di investimenti antifrode. Le banche devono ora guardare entrambi i profili — o perdere di vista il furto.

Fonti: Infosecurity Magazine; Cyber Security News; GBHackers. I dati tecnici e le cifre di impatto derivano da ricerca Group-IB riportata dalle testate citate.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter