Один Android-троян обманул банковскую защиту сразу в 11 странах

Банковский троян Gigabud обзавёлся новым трюком для обхода систем защиты Android. Вредонос научился работать в связке с приложением Vwork, форком open-source тулзы Shelter, и переносит банковский клиент в отдельный рабочий профиль смартфона. Group-IB связывает обе разработки с группировкой GoldFactory, которая либо написала их с нуля, либо серьёзно переработала уже готовые решения.

Vwork построен на штатной функции Android под названием Work Profile. Она задумывалась для честных целей и разводит личное и рабочее пространство на одном устройстве, а приложения внутри рабочего профиля живут в изолированной песочнице, недоступной остальной системе. Open-source Shelter изначально собирали энтузиасты, которым хотелось вручную раскладывать личные и служебные программы по разным контейнерам.

Авторы Vwork прикрутили к этой функции API, которым способны рулить сторонние приложения. Для Gigabud это оказался настоящий чит-код. Получил доступ к системной фиче, считай, прошёл уровень на изи. Троян сам создаёт рабочий профиль и перетаскивает туда нужный банковский клиент, а владелец телефона может вообще не заметить, что на устройстве появилась вторая цифровая комната.

Полную цепочку заражения специалисты подтвердили только на устройствах в Индонезии, но образцы Gigabud под связку с Vwork заточены сразу под несколько регионов:

• Индонезия, где зафиксирована реальная атака;
• Бразилия и Колумбия в Латинской Америке;
• Египет на Ближнем Востоке;
• Мексика, Таиланд и Турция в общем списке целей.

Всего таких стран 11, и перечень наверняка будет расти.

Отмечается, что рабочий профиль придумали для офисной рутины, а не для того, чтобы маскировать в нём угнанные банковские сессии.

Внутри последних сборок Gigabud аналитики Group-IB нашли код под связь с Vwork. В нём 3 новые команды:

• подготовка рабочего профиля под клон нужного приложения;
• выбор конкретной программы, которую нужно скопировать;
• отправка операторам отчёта о результате операции.

Перед клонированием троян запрашивает токен у внешнего сервера авторизации и получает его без участия жертвы, после чего запускает копирование выбранного приложения.

Смысл всей затеи упирается в то, как устроено обнаружение угроз на телефоне. Приложения из разных профилей практически не видят друг друга, поэтому система, поймавшая подозрительную активность в основном профиле, не обязательно свяжет её с тем же банковским клиентом после переезда в новый контейнер.

Атака строится ровно на этом разрыве. Сначала жертва ставит Gigabud, и какое-то время ничего не происходит. Затем троян создаёт рабочий профиль, копирует туда банковское приложение и уже оттуда проводит нужную операцию. Для банка транзакция приходит будто с чистого устройства, ранее не связанного ни с каким инцидентом.

Клонированием дело не ограничивается. Gigabud умеет рисовать поддельные окна авторизации ради логинов и паролей, а отдельный невидимый слой перехватывает PIN-код блокировки. Во время самой операции экран может гаснуть до полностью чёрного, и человек в этот момент вообще не понимает, что творится на его же смартфоне.

После установки вредонос просит у системы особый набор прав:

• доступ к специальным возможностям Android, открывающий контроль над интерфейсом;
• разрешение показывать окна поверх других приложений;
• исключение из ограничений энергосбережения, чтобы процесс не засыпал в бэкграунде.

Уточняется, что с февраля по июль 2026 года Group-IB насчитала около 1469 заражённых устройств и 1281 потенциально скомпрометированный аккаунт, а ущерб оценили примерно в $960 939, и это явно не вся цифра по региону.

Сам Gigabud засветился ещё в 2022 году и обычно приходит через фишинговые страницы, мессенджеры и соцсети под видом приложений авиакомпаний, налоговой или других госструктур.

Российским пользователям Android эта схема тоже небезразлична. Механизм Work Profile встроен в систему у любого производителя с поддержкой Android for Work, и специфика конкретной страны для такой атаки не требуется, поэтому локальные банковские клиенты в теории под тем же ударом.

Group-IB выделила 6 поведенческих сигналов для банков, среди которых:

• на устройстве внезапно появился рабочий профиль, который пользователь не создавал сам;
• признаки банковского приложения одновременно всплывают в нескольких профилях;
• рядом с банковским клиентом обнаруживается почти пустой изолированный профиль;
• программа без явной причины получает доступ к специальным возможностям Android.

Сочетание 2 и более таких меток уже стоит читать как серьёзный риск для банковской сессии, а не как случайное совпадение настроек.

Исследователи советуют банкам привязывать операции к конкретному устройству, это усложняет жизнь мошенникам даже с украденным логином и паролем. Для рядовых пользователей совет проще. Ставить банковские приложения только из официальных магазинов и не давать непонятным программам доступ к специальным возможностям Android без веской причины.

Смартфон в этой схеме фактически распадается на 2 почти независимые цифровые комнаты. В одной защита уже в курсе проблемы, а в другой спокойно живёт банковский клиент, который для остальной системы кажется чистым.

Ранее сообщалось, что аналитики ThreatFabric обнаружили Android-троян StreamRat, который распространялся через рекламу в социальных сетях под видом приложения для просмотра телевидения. Кампания продолжалась с 11 июня по 3 июля 2026 года, а размещённые в экосистеме Meta объявления охватили около 570 950 аккаунтов в Евросоюзе. После установки вредоносная программа получает практически полный контроль над устройством жертвы.

Эксперты CISOCLUB заявили, что кейс Gigabud обнажил системную проблему антифрод-моделей, заточенных под единый профиль устройства, а не под мультипрофильную архитектуру Android. Они отметили, что банкам придётся анализировать не только конкретное приложение и транзакцию, но и всю карту профилей на телефоне клиента.

Специалисты уточнили, что похожая логика Work Profile работает в любой стране, в том числе в России, и ничто не мешает адаптировать связку Gigabud и Vwork под локальные банковские клиенты. Они спрогнозировали рост числа вредоносов, которые эксплуатируют штатные функции ОС вместо классических руткитов. Привязка операций к конкретному устройству остаётся одной из немногих рабочих мер защиты от подобных схем.

* Корпорация Meta признана экстремистской организацией и запрещена на территории Российской Федерации.