Noul troian Android care se ascunde chiar de aplicația băncii. Gigabud îți poate controla telefonul fără să fie detectat

Un troian bancar pentru Android folosește o metodă neobișnuită pentru a evita sistemele de securitate integrate în aplicațiile bancare. Gigabud poate crea, cu ajutorul unei a doua aplicații, un profil de serviciu separat pe telefon și poate ascunde malware-ul de verificările făcute de aplicația băncii, potrivit unei investigații publicate de The Hacker News.

Tehnica a fost documentată de cercetătorii Group-IB. Atacatorii folosesc o aplicație numită Vwork, care creează un „Work Profile” pe Android. Funcția este legitimă și a fost concepută pentru separarea aplicațiilor de serviciu de cele personale. În acest caz, însă, devine o armă pentru infractorii cibernetici.

Cum reușește Gigabud să păcălească aplicația băncii

Android izolează aplicațiile aflate în profiluri diferite. O aplicație instalată în zona de serviciu nu are, în mod normal, acces complet la ceea ce se întâmplă în profilul personal. Gigabud exploatează tocmai această separare.

Malware-ul rămâne în profilul personal, iar Vwork plasează o aplicație bancară modificată în profilul de serviciu. Atunci când aplicația bancară încearcă să caute programe malițioase pe telefon, verificarea poate să nu ajungă în celălalt profil. Troianul rămâne astfel în afara razei sale de detecție.

Vezi și:

După câte ore de la ultimul pahar te poți urca la volan. Cât timp rămâne alcoolul în sânge și în aerul expirat

Nu este prima amenințare care încearcă să preia controlul asupra unui telefon Android. Recent, un alt troian bancar pentru Android, ToxicPanda a demonstrat cât de sofisticate au devenit atacurile care urmăresc PIN-uri, date bancare și accesul complet la dispozitiv.

Atacatorii pot vedea ce ai instalat și controla telefonul

Gigabud este un troian de acces la distanță activ încă din 2022. Malware-ul ajunge pe dispozitive prin aplicații false care pretind că aparțin unor companii aeriene, instituții fiscale sau portaluri guvernamentale. Instalarea se face, de regulă, din afara magazinului oficial de aplicații.

După instalare, Gigabud încearcă să obțină acces la funcțiile Accessibility din Android. Această permisiune îi poate oferi un control extrem de mare. Malware-ul poate vedea aplicațiile instalate, poate afișa ecrane false peste aplicațiile reale și poate înregistra ceea ce tastează victima.

Vezi și:

Google Messages are o problemă enervantă când schimbi telefonul. Aplicația care îți poate salva și muta toate mesajele

Telefonul tău Android îți verifică locația de sute de ori pe zi. Setarea care te poate ajuta să economisești baterie

Metode similare sunt folosite și de alte aplicații malware care imită serviciile bancare. În cazul Gigabud, atacatorii pot controla de la distanță telefonul și pot efectua operațiuni în timp ce pe ecranul victimei este afișată o imagine neagră.

Vwork complică și mai mult situația. Aplicația este bazată pe Shelter, un proiect open-source legitim destinat izolării aplicațiilor. Cercetătorii spun însă că Vwork a fost modificată astfel încât funcțiile sale să poată fi controlate de alte aplicații, inclusiv de Gigabud.

Cum verifici dacă există un profil de serviciu suspect

Există câteva indicii care pot trăda mecanismul. În setările Android, un profil de serviciu apare separat de profilul personal. Aplicațiile aflate în acesta au, de regulă, o mică pictogramă în formă de servietă.

Dacă folosești un telefon personal și observi un Work Profile pe care nu l-ai creat, merită să verifici imediat ce aplicații se află acolo. La fel de suspect este dacă aceeași aplicație bancară pare să existe în două profiluri diferite.

Atacurile bazate pe aplicații Android clonă sunt periculoase tocmai pentru că versiunile false pot arăta aproape identic cu programele originale. Diferențele pot fi greu de observat înainte ca aplicația să primească permisiunile cerute.

Group-IB a confirmat întregul lanț Gigabud-Vwork pe dispozitive infectate din Indonezia. Cercetătorii au găsit însă mostre Gigabud compatibile cu Vwork care vizează și Brazilia, Columbia, Egipt, Laos, Mexic, Maroc, Filipine, Thailanda, Turcia și o țară din Consiliul de Cooperare al Golfului. Asta nu înseamnă că au fost confirmate infectări prin această metodă în toate aceste state.

Între februarie și iulie 2026, Group-IB a observat aproximativ 1.469 de dispozitive compromise și 1.281 de autentificări posibil compromise în Indonezia. Pierderile asociate activității observate au fost estimate la aproximativ 960.000 de dolari. Cercetătorii subliniază că datele reprezintă doar cazurile pe care compania le-a putut observa, nu numărul total al victimelor.

Se schimbă stimulentul de 1.000 de lei pentru copiii cu dizabilități din București. Cine va primi mai puțin din 2027