INDONESIA / LONDON (IT BOLTWISE) – Der Banking-Trojaner Gigabud installiert auf betroffenen Android-Geräten eine zweite App namens Vwork, die einen Android-Work-Profile-Container einrichtet. Darin platziert er eine manipulierte Banking-App so, dass deren Malware-Checks den Trojaner im privaten Bereich nicht mehr erreichen. Laut einem Bericht von Group-IB wurden die Installations- und Ausführungsketten in Indonesien vollständig beobachtet. Zusätzlich beziffert die Firma für den Zeitraum Februar bis Juli 2026 rund 1.469 kompromittierte Geräte und etwa 1.281 möglicherweise kompromittierte Logins, inklusive geschätzter Verluste von etwa $960.000.
Auf Android-Geräten wirkt die Trennung zwischen „privat“ und „work“ oft wie ein Sicherheitsversprechen: Im Work-Profile laufen Unternehmens-Apps in einem separaten Bereich, der von Standard-Checks und App-Logik aus dem persönlichen Raum nicht ohne Weiteres erreichbar ist. Genau dieses Prinzip macht sich der Banking-Trojaner Gigabud zunutze. Laut einem Bericht von Group-IB installiert die Malware auf einem infizierten Smartphone zunächst den eigentlichen Remote-Access-Trojaner und danach eine zweite Komponente, Vwork, die ein Work-Profile einrichtet und darin eine manipulierte Banking-App ablegt. Dadurch kann eine betrügerische Zahlung so aussehen, als würde sie nicht mit dem bereits ausgelösten Alert auf dem Gerät zusammenhängen.
Der technische Kern liegt in der Funktionsweise der Work-Profile: Android definiert sie als eigenen Kontext für Arbeitgeber-Apps. In der Konsequenz bleibt das, was im persönlichen Bereich liegt, für Sicherheitsroutinen in Apps aus dem Work-Bereich faktisch außerhalb ihres Prüfhorizonts. Group-IB beschreibt, dass Banking-Apps in der Regel Sicherheitscode enthalten, der nach bekannten Malware-Indikatoren auf dem Gerät sucht. Wenn der Angriff jedoch die „Banking-App“ in den Work-Bereich verschiebt, findet diese Prüfung offenbar nicht mehr den Trojaner im privaten Profil. Gigabud kann so die eigene Erkennung umgehen, während die eigentliche betrügerische Interaktion weiterhin über die kompromittierte Umgebung stattfindet.
Gigabud selbst ist als Remote-Access-Trojaner ausgelegt: Der Betreiber erhält Live-Kontrolle über das Gerät. Die Kampagne sei seit 2022 aktiv und nutzt Tarn-Apps, die von außen als scheinbar legitime Angebote installiert werden sollen – etwa als Fake einer nationalen Airline, einer Steuerbehörde oder eines Regierungsportals. Beim ersten Start fordert die Malware typischerweise Accessibility-Zugriff, die Erlaubnis, über andere Apps zu zeichnen, sowie die Berechtigung, im Hintergrund weiterzulaufen, um Akkueinschränkungen zu umgehen. Genau dieser Accessibility-Zugriff ist aus Angreifersicht der Hebel: Darüber lassen sich Interaktionen aus der Ferne steuern, beispielsweise indem durch Antippen und Texteingaben in der Benutzeroberfläche eine Transaktion angestoßen wird.
Parallel arbeitet ein Manipulationslayer, der Nutzeraktionen für den eigentlichen Betrug nutzbar macht. Group-IB beschreibt, dass beim Öffnen der echten Banking-App eine gefälschte Login-Oberfläche eingeblendet wird, die die Tastatureingaben abgreift. Zusätzlich kommt eine zweite Überlagerung ins Spiel, die für den Nutzer unsichtbar bleibt und den Zugriff auf den Sperrbildschirmcode ermöglicht. Für die eigentliche Umgehungsstrategie ist Vwork entscheidend: Die Analyse einer einzelnen Vwork-Probe ordnet die Architektur und Klassenbezeichnungen Shelter zu, einem Open-Source-Werkzeug, das Work-Profile nutzt, um Apps beim Besitzer zu isolieren oder zu duplizieren. Der Unterschied liegt aber in der Steuerung: Shelter führt die Schritte „handgeführt“ durch den Nutzer aus, Vwork automatisiert die gleichen Jobs für andere Apps und verschiebt damit die Kontrolle vom Gerätebesitzer auf den Angreifer.
Nach den Angaben von Group-IB fehlen in Vwork die Schutzmechanismen, die sonst verhindern, dass beliebige Apps solche Funktionen auslösen. Dadurch kann jede App auf dem Gerät Vwork ansteuern. Vor dem Klonen einer App holt Vwork eine Erlaubnis von einem externen Server ein, während Gigabud die für Vwork vorgesehenen Befehle mitliefert. Auch die Bedienlogik wird abgesenkt: Shelter führt Nutzer in mehreren Bildschirmen durch den Prozess, Vwork reduziert das Ganze offenbar auf eine einzelne Prompt-Anweisung, die laut Bericht in Chinesisch verfasst ist. Interessant ist dabei auch die zeitliche Kette auf Geräten in Indonesien: Gigabud traf zuerst ein, Vwork folgte innerhalb weniger Minuten, anschließend wurde die manipulierte Banking-App nachgelagert installiert.
In dem Fall, den der Bericht besonders detailliert beschreibt, handelte es sich beim Inhalt des Work-Profile nicht um eine 1:1-Kopie der echten Banking-App, sondern um eine gefälschte Version einer realen Bank-App aus Indonesien. Group-IB stuft Vwork als weiterhin in aktiver Entwicklung ein: Teile der zusätzlichen Funktionen seien instabil und würden auf Android-Builds, die nahe an der Open-Source-Referenz liegen, nicht wie erwartet funktionieren. Das bedeutet praktisch: Die Technik ist möglicherweise nicht auf jedem Gerät gleichermaßen zuverlässig. Welche konkreten Telefonmodelle und Android-Versionen in Indonesien funktionieren, nennt die Quelle nicht. Dennoch wird der Angriffsansatz über mehrere Länder hinweg vorbereitet: Gigabud-Samples, die auf die Vwork-Work-Profile-Logik passen, wurden für Brasilien, Kolumbien, Ägypten, Indonesien, Laos, Mexiko, Marokko, die Philippinen, Thailand, die Türkei und auch für ein Land aus dem Golfkooperationsrat gefunden – wobei es sich dabei ausdrücklich um Samples handelt, nicht um bestätigte Infektionen.
Für die Größenordnung nennt Group-IB für den Zeitraum Februar bis Juli 2026 in Indonesien rund 1.469 kompromittierte Geräte und etwa 1.281 möglicherweise kompromittierte Logins, verbunden mit geschätzten Verlusten von etwa $960.000. Die Zählung bezieht sich auf das, was die Firma selbst beobachtet hat, und soll nicht als vollständiges Bild für das gesamte Land verstanden werden. Entscheidend ist außerdem: Der Bericht sagt nicht, wie viele der betroffenen Geräte tatsächlich Vwork im Work-Profile-Setup hatten. Insgesamt verknüpft Group-IB Gigabud und Vwork über Code-Indikatoren wie Paketnamenbezüge, gemeinsame Netzwerkindikatoren sowie Log-Ausgaben, die in chinesischer Sprache verfasst seien; diese Hinweise will die Firma aus nachvollziehbaren Gründen nicht vollständig veröffentlichen. Für die betroffenen Nutzer bleibt die wichtigste Konsequenz daher praktisch: Ein Work-Profile auf einem „normalen“ Consumer-Gerät ist ein Warnsignal, genauso wie Accessibility-Zugriff für eine App ohne klaren legitimen Zweck.
Um das Risiko für Banken und Endkunden einzurahmen, arbeitet der Bericht mit beobachtbaren Symptomen statt mit Dateisignaturen. Für Nutzer empfiehlt Group-IB, Apps ausschließlich aus offiziellen Stores zu installieren und Accessibility-Zugriffe auf Apps abzulehnen, die keine Accessibility-Werkzeuge sind. Zusätzlich wird für Banking-Anwendungsfälle ein zweiter Faktor genannt, der nicht auf SMS setzt. Für Banken wird das Muster „Containerisierung“ relevant: Die Manipulation hängt nicht nur an einer einzelnen Schadsoftware, sondern an der Fähigkeit, eine legitime Sicherheitslogik durch einen anderen Android-Kontext auszutricksen. Gleichzeitig zeigt das Beispiel, wie Open-Source-Funktionalität wie Shelter in der Praxis zur Angriffsunterstützung umgebaut werden kann – nicht weil Work-Profile an sich unsicher wären, sondern weil deren Trennung in der Angriffs-Chain als Umgehungspunkt genutzt wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Gigabud nutzt Android-Work-Profile, um Banking-Malware-Checks zu umgehen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Gigabud nutzt Android-Work-Profile, um Banking-Malware-Checks zu umgehen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Gigabud nutzt Android-Work-Profile, um Banking-Malware-Checks zu umgehen« bei Google Deutschland suchen, bei Bing oder Google News!