Una nuova evoluzione del malware Gigabud per Android utilizza una tecnica di clonazione di app bancarie all'interno di profili di lavoro isolati, rendendo più difficile il rilevamento delle frodi per le istituzioni finanziarie.
Il panorama delle minacce per Android si arricchisce di una nuova, sofisticata tattica grazie all'evoluzione del trojan bancario Gigabud. Ricercatori di sicurezza hanno scoperto che questo malware è ora in grado di clonare applicazioni bancarie legittime all'interno di un profilo di lavoro separato sul dispositivo infetto. Questa tecnica innovativa mira a disconnettere l'attività fraudolenta dall'applicazione malevola originale, rendendo estremamente complesso per le banche e i sistemi di sicurezza identificare e bloccare le transazioni illecite.
La capacità di clonazione è resa possibile dall'integrazione di Gigabud con uno strumento chiamato Vwork. Secondo le analisi, Vwork è una versione modificata dell'app open-source Shelter, progettata per creare profili di lavoro isolati sui dispositivi Android. A differenza di Shelter, che richiede l'interazione diretta dell'utente, Vwork espone le sue funzionalità di clonazione come un'interfaccia che altre app, come Gigabud, possono richiamare. Gigabud include comandi specifici per creare il profilo di lavoro, clonare un'applicazione bancaria designata e segnalare il successo dell'operazione. Per eseguire la clonazione, Gigabud recupera un token di autorizzazione da un server esterno.
Il principale vantaggio di questa tecnica risiede nell'isolamento del rilevamento. Le applicazioni all'interno di un profilo di lavoro sono in gran parte invisibili ai sistemi di scansione basati su firme che operano nel profilo personale del dispositivo. Di conseguenza, un allarme di sicurezza generato nel profilo principale non si attiverà nel profilo di lavoro creato successivamente. Gli operatori del malware installano Gigabud, attendono il momento opportuno, clonano l'app bancaria nel nuovo profilo e avviano le transazioni fraudolente da lì. Per la banca, il pagamento apparirà provenire da un dispositivo non riconosciuto e privo di una cronologia di malware.
Per completare l'inganno, vengono utilizzate schermate di login fasulle per catturare le credenziali bancarie dell'utente. Contemporaneamente, un overlay invisibile intercetta i codici di sblocco dello schermo. Durante l'esecuzione della frode vera e propria, uno schermo nero nasconde le operazioni in corso sul dispositivo, impedendo all'utente di accorgersi di quanto sta accadendo.
Sebbene la catena di infezione completa sia stata confermata principalmente su dispositivi in Indonesia, i campioni di Gigabud modificati per funzionare con Vwork sono stati individuati con l'obiettivo di colpire 11 paesi. Tra questi figurano Brasile, Colombia, Egitto, Messico, Tailandia e Turchia, indicando un'ambizione globale per questa minaccia.
In Indonesia, tra febbraio e luglio 2026, i ricercatori hanno documentato circa 1469 dispositivi compromessi e 1281 accessi potenzialmente fraudolenti, con perdite stimate intorno ai 960.939 dollari. Questi dati, sebbene indicativi, suggeriscono la gravità del problema.
Gigabud, attivo dal 2022, raggiunge le sue vittime attraverso siti di phishing, messaggistica e social media, spacciandosi per app legittime di compagnie aeree, autorità fiscali o enti governativi. Al primo avvio, richiede autorizzazioni critiche come l'accesso ai servizi di accessibilità, il permesso di sovrapporre contenuti e l'esenzione dall'ottimizzazione della batteria. L'accesso ai servizi di accessibilità è particolarmente cruciale, poiché è attraverso questa autorizzazione che gli operatori ottengono il controllo sul dispositivo.
Per contrastare questa minaccia in evoluzione, i ricercatori hanno identificato sei segnali comportamentali che le banche dovrebbero monitorare. Questi includono la comparsa di un profilo di lavoro su un telefono che l'utente non ha mai configurato, la corrispondenza di indicatori di app bancarie tra profili diversi, un ambiente isolato altrimenti vuoto e la concessione di accesso ai servizi di accessibilità a un'app senza una giustificazione valida. L'associazione di due o più di questi segnali dovrebbe essere considerata un indicatore di sessione ad alto rischio.
Oltre a questi segnali, si raccomanda l'implementazione del device binding, una tecnica che lega le sessioni di login a specifici dispositivi, impedendo l'autorizzazione di pagamenti da dispositivi rubati o compromessi. Per gli utenti finali, il consiglio rimane quello di scaricare applicazioni esclusivamente dagli store ufficiali e di prestare la massima attenzione alle autorizzazioni richieste dalle app.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
