Sicherheitsforscher von Group-IB haben eine neue Angriffstechnik des Banking-Trojaners Gigabud dokumentiert, die gezielt eine Funktion von Android-Geräten missbraucht, um Betrugserkennungssysteme zu umgehen. Der Schädling installiert dabei die Anwendung Vwork, einen Ableger der App Shelter, und erstellt darüber ein separates Arbeitsprofil auf dem infizierten Gerät.
In diesem isolierten Profil klont Gigabud anschließend die eigentliche Banking-App des Opfers in manipulierter Form. Die vollständige Infektionskette dieser Methode wurde bislang ausschließlich in Indonesien nachgewiesen.
Wie die Technik funktioniert
Android-Work-Profile sind ursprünglich dafür gedacht, geschäftliche und private Daten auf einem Gerät strikt zu trennen. Genau diese Trennfunktion macht sich Gigabud laut Group-IB zunutze: Weil Sicherheits- und Betrugserkennungsmechanismen von Banken oft nicht in der Lage sind, Aktivitäten innerhalb eines separaten Arbeitsprofils vollständig einzusehen, bietet das Vorgehen den Angreifern eine effektive Tarnung. Die App Vwork übernimmt dabei die technische Aufgabe, das Profil anzulegen und die geklonte Banking-App darin zu platzieren.
Gigabud selbst ist als Remote-Access-Trojaner (RAT) bereits seit 2022 aktiv. Group-IB ordnet die aktuelle Kampagne der Gruppe GoldFactory zu, die für die Kombination aus Gigabud und Vwork verantwortlich sein soll.
Millionen Smartphone-Nutzer setzen täglich auf mobiles Banking, doch ohne die richtigen Sicherheitsvorkehrungen riskieren sie den Verlust sensibler Finanzdaten. Dieser kostenlose Ratgeber zeigt Ihnen in fünf einfachen Schritten, wie Sie Ihr Gerät effektiv gegen Hacker und Viren absichern. 5 sofort umsetzbare Schutzmaßnahmen für Ihr Android-Smartphone entdecken
Reichweite über Indonesien hinaus
Nach Angaben von Group-IB wurden Vwork-kompatible Gigabud-Samples entdeckt, die auf insgesamt elf Länder abzielen: Brasilien, Kolumbien, Ägypten, Indonesien, Laos, Mexiko, Marokko, die Philippinen, Thailand, die Türkei sowie einen nicht näher benannten Staat am Persischen Golf (GCC).
Während die Malware also in einem breiten geografischen Raum aktiv zu sein scheint, konnte die komplette technische Infektionskette – von der ersten Installation bis zum Missbrauch des Work-Profils – bislang nur in Indonesien vollständig belegt werden.
Ausmaß der bestätigten Vorfälle in Indonesien
Für den Zeitraum Februar bis Juli 2026 dokumentiert Group-IB in Indonesien rund 1.469 kompromittierte Geräte sowie etwa 1.281 potenziell kompromittierte Zugangsdaten beziehungsweise Logins.
Die geschätzten finanziellen Verluste durch diese Vorfälle beziffert Group-IB auf umgerechnet rund 960.939 US-Dollar, was den Angaben zufolge etwa 8,2 Crore Indischen Rupien entspricht. Die Zahl wird von Group-IB als indikativ bezeichnet, basierend auf der bislang beobachteten Aktivität.
Wer sich mit der Sicherheit mobiler Betriebssysteme befasst, sollte regelmäßige Aktualisierungen nicht dem Zufall überlassen. Erfahren Sie in diesem kostenlosen Leitfaden, wie Sie Sicherheitslücken schließen und Ihr Gerät durch die richtige Konfiguration von Updates dauerhaft schützen. Kostenlosen Android-Update-Report jetzt herunterladen
Einordnung
Der Fall zeigt, wie Angreifer zunehmend legitime Betriebssystemfunktionen wie das Android-Work-Profil zweckentfremden, um klassische Erkennungsmechanismen zu umgehen.
Für Nutzer bedeutet dies, dass eine Infektion nicht zwangsläufig durch offensichtliche Anzeichen im Hauptprofil eines Geräts auffällt, da die eigentliche schädliche Aktivität in einem separaten, oft weniger überwachten Bereich stattfindet.
Da die Angriffskette bislang nur in Indonesien vollständig nachvollzogen wurde, bleibt unklar, in welchem Umfang die identifizierten Samples in den übrigen genannten Ländern bereits aktiv zum Einsatz kommen oder sich noch in einer früheren Ausbreitungsphase befinden.
