Wprowadzenie do problemu / definicja
Ekosystem Android od lat pozostaje jednym z głównych celów operatorów złośliwego oprogramowania finansowego. Najnowsze obserwacje pokazują jednak istotną zmianę w taktyce przestępców. Zamiast ograniczać się do kradzieży danych logowania, przechwytywania sesji czy wyświetlania fałszywych ekranów, coraz częściej próbują oni odtworzyć zaufane środowisko aplikacyjne użytkownika i uruchamiać w nim sklonowane aplikacje bankowe.
W centrum tego zjawiska znajduje się kampania powiązana z trojanem Gigabud. Jej istotnym elementem jest wykorzystanie narzędzia do klonowania aplikacji opartego na mechanizmie Android Work Profile, który w normalnych warunkach służy do oddzielenia środowiska prywatnego od służbowego.
W skrócie
Badacze bezpieczeństwa opisali nowy komponent wykorzystywany razem z malware Gigabud, którego zadaniem jest klonowanie aplikacji w odseparowanym profilu roboczym na urządzeniu z Androidem. Po początkowej infekcji atakujący instalują dodatkowe narzędzie i tworzą kopie wybranych aplikacji, w tym aplikacji bankowych, w ukrytym lub mniej widocznym środowisku.
- atak wykorzystuje profil roboczy Androida do separacji aplikacji,
- moduł klonujący działa jako dodatek do istniejącej infekcji,
- celem są przede wszystkim oszustwa finansowe i obejście części mechanizmów detekcji,
- kampania wpisuje się w rozwój bardziej modularnych mobilnych operacji fraudowych.
Kontekst / historia
Gigabud jest znany jako androidowy trojan z funkcjami zdalnego dostępu, wykorzystywany w atakach na użytkowników usług finansowych. Wcześniejsze analizy wskazywały, że malware rozwijano etapowo, dostosowując je do lokalnych kampanii oraz podszywając pod znane marki, usługi publiczne i popularne platformy cyfrowe.
W przeszłości złośliwe oprogramowanie tego typu koncentrowało się głównie na technikach takich jak overlay, kradzież poświadczeń, przechwytywanie PIN-ów czy zdalna obsługa urządzenia. Obecnie operatorzy idą o krok dalej. Dodanie komponentu odpowiedzialnego za klonowanie aplikacji oznacza przejście do bardziej złożonego modelu nadużyć, w którym legalnie wyglądająca aplikacja staje się narzędziem oszustwa.
To także kolejny przykład szerszego trendu w mobilnym fraudzie, gdzie łączone są malware, socjotechnika, ukryte profile użytkownika oraz automatyzacja interfejsu w celu obejścia zabezpieczeń antyfraudowych.
Analiza techniczna
Kluczowym elementem kampanii jest wykorzystanie narzędzia bazującego na otwartoźródłowym projekcie do klonowania aplikacji, zaadaptowanego do działań przestępczych. Komponent ten nie musi działać jako samodzielny malware. Pełni rolę dodatkowego modułu wdrażanego po uzyskaniu bazowej infekcji przez Gigabud.
Po zainstalowaniu operator może zdalnie polecić urządzeniu utworzenie osobnego profilu roboczego i umieścić tam kopie wybranych aplikacji. Mechanizm Work Profile został zaprojektowany z myślą o izolacji środowisk, ale w scenariuszu nadużycia ta sama funkcja staje się zaletą napastnika. Aplikacje w jednym profilu są logicznie odseparowane od aplikacji w drugim, co może utrudniać prostą inspekcję opartą na wykrywaniu pakietów, relacji między procesami lub podstawowych sygnatur.
Typowy łańcuch ataku obejmuje kilka etapów. Najpierw ofiara jest nakłaniana do instalacji aplikacji spoza zaufanego sklepu albo do nadania szerokich uprawnień. Następnie Gigabud przejmuje kontrolę nad urządzeniem, korzystając między innymi z uprawnień dostępności, możliwości wyświetlania nakładek oraz zdalnej obsługi interfejsu. Kolejny krok to dostarczenie modułu klonującego, który tworzy kopię wybranej aplikacji bankowej w profilu roboczym.
W połączeniu z fałszywymi ekranami logowania, przechwytywaniem danych uwierzytelniających i zdalnym sterowaniem urządzeniem taka technika pozwala wykonywać operacje w sposób bardziej zbliżony do normalnego zachowania użytkownika. To może utrudniać rozróżnienie legalnej aktywności od fraudu, zwłaszcza jeśli analiza opiera się wyłącznie na sygnałach z pojedynczej warstwy.
Istotne jest również to, że uruchamianie operacji w sklonowanym i odizolowanym kontekście może osłabiać skuteczność części kontroli integralności środowiska. Systemy antyfraudowe często badają reputację urządzenia, obecność overlayów, ślady emulacji czy nienaturalne wzorce interakcji. Jeżeli aktywność przebiega w dodatkowym, odseparowanym profilu, korelacja takich sygnałów może być trudniejsza.
Konsekwencje / ryzyko
Najpoważniejszą konsekwencją tego modelu ataku jest wzrost skuteczności oszustw finansowych realizowanych bezpośrednio na urządzeniu ofiary. Przestępcy nie muszą już jedynie wykradać poświadczeń i odtwarzać sesji po swojej stronie. Mogą wykonywać działania z użyciem urządzenia użytkownika, jego kontekstu sieciowego i aplikacji, która wygląda wiarygodnie.
Ryzyko dotyczy kilku grup jednocześnie. Dla użytkowników oznacza to możliwość przejęcia konta, kradzieży środków, ujawnienia danych osobowych oraz obejścia lokalnych metod autoryzacji. Dla banków i fintechów to wyższe prawdopodobieństwo strat fraudowych, trudniejsze dochodzenia oraz większe wymagania wobec systemów wykrywania zagrożeń mobilnych.
Z perspektywy zespołów SOC oraz fraud detection problemem staje się korelacja zdarzeń z wielu warstw: urządzenia, aplikacji mobilnej, backendu transakcyjnego oraz zachowania sesyjnego. Dodatkowo technika ta może być skalowana na nowe regiony i kolejne aplikacje, jeśli moduł klonujący da się łatwo dostosować do różnych scenariuszy.
Rekomendacje
Organizacje finansowe powinny rozszerzyć modele detekcji mobilnych nadużyć o sygnały związane z profilem roboczym, duplikacją aplikacji i nietypową topologią środowiska użytkownika. Sama detekcja rootowania, emulacji czy overlayów nie jest już wystarczająca.
- wdrożenie telemetrii wykrywającej profile robocze i konteneryzację,
- walidacja integralności środowiska uruchomieniowego aplikacji,
- ochrona przed nadużyciem uprawnień dostępności,
- silniejsze wiązanie sesji z konkretnym stanem urządzenia,
- adaptacyjne uwierzytelnianie zależne od poziomu ryzyka,
- monitorowanie nietypowych pakietów związanych z MDM i Work Profile.
Zespoły bezpieczeństwa powinny również analizować zdarzenia wskazujące na tworzenie dodatkowych profili użytkownika na urządzeniach klientów oraz lepiej odróżniać legalne użycie Work Profile od aktywności potencjalnie złośliwej.
Użytkownikom końcowym warto rekomendować kilka podstawowych działań ochronnych.
- instalowanie aplikacji wyłącznie z oficjalnych sklepów,
- unikanie aktualizacji dostarczanych przez SMS-y, komunikatory i strony phishingowe,
- ograniczenie nadawania uprawnień dostępności nieznanym aplikacjom,
- kontrolę listy aplikacji i aktywnych profili roboczych na urządzeniu,
- natychmiastowy kontakt z bankiem po wykryciu nietypowych ekranów logowania lub nieautoryzowanych transakcji.
Podsumowanie
Kampania powiązana z Gigabud pokazuje, że mobilne oszustwa finansowe wchodzą w etap większej modularności i operacyjnej dojrzałości. Wykorzystanie mechanizmu klonowania aplikacji w Android Work Profile nie jest wyłącznie techniczną ciekawostką, ale praktycznym sposobem na zwiększenie skuteczności fraudu i utrudnienie detekcji.
Dla sektora finansowego to wyraźny sygnał, że ochrona aplikacji mobilnych musi obejmować nie tylko samo malware, ale również nadużycia legalnych funkcji systemu operacyjnego. Skuteczna obrona wymaga połączenia telemetrii urządzeniowej, analizy behawioralnej oraz nowoczesnych mechanizmów antyfraudowych.
Źródła
- Vwork: Weaponized Open-source Software as an Addon for Gigabud | Group-IB Blog — https://www.group-ib.com/blog/vwork-app-cloning-gigabud-goldfactory/
- Hook for Gold: Inside GoldFactory’s Campaign That Turns Apps Into Goldmines | Group-IB Blog — https://www.group-ib.com/blog/turning-apps-into-gold/
- Breaking down Gigabud banking malware with Fraud Matrix | Group-IB Blog — https://www.group-ib.com/blog/gigabud-banking-malware/
- Gigabud Malware Masquerades as Grab Super-App in Southeast Asia | Broadcom Security Center — https://www.broadcom.com/support/security-center/protection-bulletin/gigabud-malware-masquerades-as-grab-super-app-in-southeast-asia