Gigabud и Vwork: GoldFactory клонирует банковские приложения в скрытом профиле Android

Первый инструмент - Gigabud. Это банковский троян для Android с функциями удалённого управления, активный с 2022 года. География заражений охватывает Юго-Восточную и Южную Азию, Ближний Восток, Африку и Латинскую Америку. Приманки меняются от региона к региону. В одном случае жертве предлагают приложение национальной авиакомпании. В другом - программу налоговой службы или государственного портала. Все сборки распространяют вне официальных магазинов. После установки и выдачи разрешений оператор получает удалённый доступ к чужому телефону.

Второй инструмент - Vwork. По данным Group-IB, это переработанная копия открытого приложения Shelter. Оригинал использует штатную функцию Android "рабочий профиль": она создаёт отдельное пространство для программ. Обычный владелец настраивает такой профиль вручную. В Vwork ручное управление убрали. Вместо него появился программный интерфейс, через который любое стороннее приложение само создаёт профиль, переносит туда программы и открывает их. Собственного канала связи с командно-контрольным сервером у Vwork нет. Поэтому ему нужен сосед на том же устройстве. Этим соседом стал Gigabud.

Цепочка выглядит так. Жертва переходит по ссылке в мессенджере, социальной сети или на фишинговом сайте. Затем скачивает программу, которая выдаёт себя за сервис авиакомпании, налогового ведомства или госуслуг. При первом запуске она просит службу специальных возможностей, право рисовать поверх других окон и отключение экономии заряда. Служба специальных возможностей - это системный инструмент для управления интерфейсом; получив её, оператор полностью контролирует устройство. Далее Gigabud отправляет на сервер список всех установленных программ. Так выбираются банки, с которыми стоит работать. Когда жертва открывает настоящее банковское приложение, поверх появляется поддельный экран входа. Отдельный невидимый слой считывает код блокировки экрана.

Затем оператор даёт команду установить Vwork. Через него выбранное банковское приложение копируется в скрытый рабочий профиль. В одном из подтверждённых случаев копией оказалась поддельная версия приложения индонезийского банка. Дальше мошенник проводит операции прямо на телефоне жертвы. Экран в этот момент закрыт чёрным изображением. Клонированная среда нужна, чтобы обойти контроль мошеннических операций. Если защита её не распознаёт, транзакция проходит мимо мониторинга и деньги выводятся.

Приложения в разных профилях Android изолированы друг от друга. Это касается и обнаружения по сигнатурам. Вредоносная программа, найденная в личном профиле, не обязательно вызовет тревогу при похожей активности в рабочем. Ситуацию усложняет порядок действий. Сначала атакующий заражает личный профиль, но не трогает деньги. Банк может заметить подозрительную активность, однако без финансовых потерь дело редко идёт дальше. Потом Vwork создаёт новый профиль, и операция проводится уже оттуда. Для банка она выглядит как вход с незнакомого устройства. Связь между сигналом об угрозе и переводом средств теряется.

Клонирование требует подтверждения от внешнего сервера. Данные для него Gigabud получает у сервера, куда отправляет украденное. Образцы Gigabud, совместимые с Vwork, находили в Бразилии, Колумбии, Египте, Индонезии, Лаосе, Мексике, Марокко, Филиппинах, Таиланде, Турции и одной из стран Персидского залива. Разработку обоих инструментов приписывают группировке GoldFactory. В коде Vwork есть отдельные ветки, ссылающиеся на Gigabud, а в интерфейсе - надписи на китайском. После установки значок Vwork не появляется среди иконок. Найти его можно в файловом менеджере. При первом запуске программа предлагает активировать рабочий профиль одним нажатием.

Для обычного пользователя первый тревожный признак - появление рабочего профиля на личном телефоне. Особенно если он никогда не настраивал его сам и не получал устройство от работодателя. Настораживать должно и разрешение на службу специальных возможностей у программы, которой оно не нужно. Банкам стоит привязывать вход к конкретному проверенному устройству. Полезно отслеживать необычный порядок и время действий внутри сессии. Операции с устройства, где активна служба специальных возможностей у неизвестного приложения, разумно блокировать. Регуляторам имеет смысл требовать распространения официальных приложений только через проверенные магазины.

Распределение ролей между двумя программами даёт атакующим заметное преимущество. Вредоносный код остаётся в изолированном профиле и не попадает в поле зрения сигнатурных движков. Схема также напоминает, насколько легко приспособить легитимное программное обеспечение для кражи денег. Одной сигнатурной защиты здесь недостаточно: поведенческие признаки проявляются раньше, чем первая кража со счёта.