Korisnike Androida ugrožava nova tehnika kibernetičkog napada u kojoj se malware ubacuje u stvarne bankarske aplikacije i tako pokušava zaobići sigurnosne kontrole. Stručnjaci za kibernetičku sigurnost upozoravaju na bankarskog trojanca Gigabud, koji napadačima može omogućiti krađu osjetljivih podataka, ali i opsežan pristup uređaju. Novu tehniku analizirala je tvrtka za kibernetičku sigurnost Group-IB, koja Gigabud prati od 2022. godine. Malware se, među ostalim, širi putem lažnih aplikacija koje se predstavljaju kao aplikacije zrakoplovnih kompanija, poreznih tijela ili državnih institucija, a u promatranim slučajevima instalirane su izvan službenih trgovina aplikacija, piše Fenix.
Iza napada, prema pretpostavkama stručnjaka, stoji skupina GoldFactory, koja sada Gigabud kombinira s aplikacijom Vwork, izmijenjenom verzijom izvorno legitimne aplikacije. Prema analizi Group-IB-a, takve su varijante pripremane za napade na korisnike u Brazilu, Kolumbiji, Egiptu, Indoneziji, Laosu, Meksiku, Maroku, Filipinima, Tajlandu i Turskoj, a među potencijalnim žrtvama navode se i korisnici u Njemačkoj. Nakon instalacije Gigabud zahtijeva široke dozvole, među ostalim pristup značajkama pristupačnosti Androida i mogućnost prikazivanja sadržaja preko drugih aplikacija.
Ako korisnik te dozvole odobri, malware može utvrditi koje su aplikacije instalirane na uređaju. Kada korisnik pokrene stvarnu bankarsku aplikaciju, preko nje se može prikazati lažni obrazac za prijavu. Podaci koje korisnik ondje unese završavaju kod napadača. Prema analizi, dodatni sloj prikaza može omogućiti i prikupljanje koda kojim se otključava pametni telefon.
Za sljedeći korak malware koristi značajku Androida poznatu kao radni profil, koja je namijenjena odvajanju poslovnih i privatnih aplikacija i njihovih podataka. Gigabud uz pomoć aplikacije Vwork pokušava bankarsku aplikaciju kopirati u dodatni profil. Prema tehničkoj analizi Group-IB-a, Vwork se temelji na projektu otvorenog koda Shelter, koji omogućuje izoliranje aplikacija u radnom profilu ili stvaranje dodatne instance aplikacije.
Vwork je pritom izmijenjen tako da drugim programima omogućuje daljinsko upravljanje funkcijama kloniranja. Izmijenjena verzija također bi trebala biti manje uočljiva jer nakon postavljanja ne prikazuje uobičajenu ikonu aplikacije u pokretaču. Opseg kampanje zasad nije moguće pouzdano utvrditi. Group-IB je samo u Indoneziji između veljače i srpnja 2026. zabilježio oko 1469 kompromitiranih uređaja i 1281 potencijalno ugroženu prijavu. Procijenjena financijska šteta iznosi oko 960.939 američkih dolara. Stručnjaci pritom naglašavaju da ti podaci obuhvaćaju samo dio napada koje su zabilježili i ne predstavljaju ukupan opseg kampanje, piše Fenix.
Korisnici koji na telefonu pronađu Vwork, odnosno paket aplikacije net.yy.vwork, ili su nedavno instalirali nepoznatu aplikaciju izvan službene trgovine, trebali bi izbjegavati obavljanje bankarskih transakcija na tom uređaju. Poseban oprez potreban je kod aplikacija instaliranih putem preglednika, aplikacija za razmjenu poruka ili upravitelja datotekama koje traže osjetljive dozvole.
Kod sumnje na zarazu samo brisanje pojedinačne aplikacije možda neće biti dovoljno. Savezni ured za informacijsku sigurnost (BSI) kod bankarskih trojanaca preporučuje promjenu pristupnih podataka nakon čišćenja uređaja i kontaktiranje banke. U slučaju sumnje na Android malware s tako širokim mogućnostima pristupa može biti potrebno i vraćanje telefona na tvorničke postavke.
