Gigabud dùng Android Work Profile để né kiểm tra mã độc ngân hàng
"Group-IB reported that the Gigabud Android banking trojan uses a companion app, Vwork, to create a work profile and place a tampered banking app inside it, helping the malware evade banking app malware checks. The technique was confirmed on infected devices in Indonesia and was associated with about 1,469 compromised devices and estimated losses of roughly $960,000 between February and July 2026; the report did not identify a CVE or provide a patch, but noted that removing the work profile can delete its contents."
Đây là kỹ thuật né phát hiện trên Android banking malware có thể làm giảm hiệu quả của lớp bảo vệ trên ứng dụng ngân hàng. Không có CVE/bản vá, nên trọng tâm là phát hiện hành vi và kiểm soát quyền.
Có thể dẫn tới gian lận giao dịch, mất tiền trực tiếp và tăng chi phí hỗ trợ/điều tra sự cố. Các tổ chức có người dùng Android cần siết kiểm soát ứng dụng và quyền truy cập.
Group-IB cho biết trojan ngân hàng Gigabud trên Android đang dùng một ứng dụng đi kèm tên Vwork để tạo work profile trên máy nhiễm, sau đó đặt một ứng dụng ngân hàng đã bị chỉnh sửa vào vùng tách biệt này. Cách làm này giúp mã độc né các kiểm tra mã độc do ứng dụng ngân hàng thực hiện, vì nội dung trong work profile không được quét như phần personal space của thiết bị.
Nhà nghiên cứu đã xác nhận chuỗi tấn công này trên các thiết bị nhiễm tại Indonesia. Theo báo cáo, hoạt động quan sát được trong giai đoạn tháng 2 đến tháng 7/2026 liên quan khoảng 1.469 thiết bị bị xâm nhập, 1.281 lần đăng nhập có khả năng bị ảnh hưởng và thiệt hại ước tính khoảng 960.000 USD. Báo cáo không nêu CVE và cũng không có bản vá cụ thể.
Về kỹ thuật, Gigabud vẫn yêu cầu các quyền như Accessibility, quyền hiển thị đè lên ứng dụng khác và chạy nền. Khuyến nghị cho đội kỹ thuật là chỉ cài ứng dụng từ kho chính thức, từ chối quyền Accessibility khi không cần thiết, kiểm tra mục Work profile trong cài đặt và xóa work profile nếu phát hiện bất thường; lưu ý việc xóa profile sẽ xóa toàn bộ dữ liệu bên trong.