Korisnike Androida ugrožava nova tehnika kibernetičkog napada u kojoj se malware ubacuje u stvarne bankarske aplikacije i tako pokušava zaobići sigurnosne kontrole.
Stručnjaci za kibernetičku sigurnost upozoravaju na bankarskog trojanca Gigabud, koji napadačima može omogućiti krađu osjetljivih podataka, ali i širok pristup uređaju.
Novu tehniku analizirala je kompanija za kibernetičku sigurnost Group-IB, koja Gigabud prati od 2022. godine.
Malware se, između ostalog, širi putem lažnih aplikacija koje se predstavljaju kao aplikacije aviokompanija, poreznih tijela ili državnih institucija. U promatranim slučajevima te aplikacije instalirane su izvan službenih trgovina aplikacija, piše Fenix.
Iza napada, prema pretpostavkama stručnjaka, stoji grupa GoldFactory, koja sada Gigabud kombinira s aplikacijom Vwork, izmijenjenom verzijom izvorno legitimne aplikacije.
Prema analizi Group-IB-a, takve varijante pripremane su za napade na korisnike u Brazilu, Kolumbiji, Egiptu, Indoneziji, Laosu, Meksiku, Maroku, Filipinima, Tajlandu i Turskoj, a među potencijalnim žrtvama navode se i korisnici u Njemačkoj.
Nakon instalacije Gigabud zahtijeva široke dozvole, između ostalog pristup Androidovim funkcijama pristupačnosti i mogućnost prikazivanja sadržaja preko drugih aplikacija.
Lažni obrazac može se pojaviti preko bankarske aplikacije
Ako korisnik odobri te dozvole, malware može utvrditi koje su aplikacije instalirane na uređaju.
Kada korisnik pokrene stvarnu bankarsku aplikaciju, preko nje se može prikazati lažni obrazac za prijavu. Podaci koje korisnik ondje unese završavaju kod napadača.
Prema analizi, dodatni sloj prikaza može omogućiti i prikupljanje koda kojim se otključava pametni telefon.
Za sljedeći korak malware koristi značajku Androida poznatu kao radni profil, koja je namijenjena odvajanju poslovnih i privatnih aplikacija i njihovih podataka.
Gigabud uz pomoć aplikacije Vwork pokušava bankarsku aplikaciju kopirati u dodatni profil.
Prema tehničkoj analizi Group-IB-a, Vwork se temelji na projektu otvorenog koda Shelter, koji omogućava izoliranje aplikacija u radnom profilu ili stvaranje dodatne instance aplikacije.
Vwork je pritom izmijenjen tako da drugim programima omogućava daljinsko upravljanje funkcijama kloniranja. Izmijenjena verzija također bi trebala biti manje uočljiva jer nakon postavljanja ne prikazuje uobičajenu ikonu aplikacije u pokretaču, prenosi Oslobođenje.
U Indoneziji zabilježeno gotovo 1.500 kompromitiranih uređaja
Opseg kampanje zasad nije moguće pouzdano utvrditi.
Group-IB je samo u Indoneziji između veljače i srpnja 2026. godine zabilježio oko 1.469 kompromitiranih uređaja i 1.281 potencijalno ugroženu prijavu.
Procijenjena financijska šteta iznosi oko 960.939 američkih dolara.
Stručnjaci pritom naglašavaju da ti podaci obuhvaćaju samo dio napada koje su zabilježili i ne predstavljaju ukupan opseg kampanje.
Što uraditi ako imate Vwork na telefonu?
Korisnici koji na telefonu pronađu Vwork, odnosno paket aplikacije net.yy.vwork, ili su nedavno instalirali nepoznatu aplikaciju izvan službene trgovine, trebali bi izbjegavati obavljanje bankarskih transakcija na tom uređaju.
Poseban oprez potreban je kod aplikacija instaliranih putem preglednika, aplikacija za razmjenu poruka ili upravitelja datotekama koje traže osjetljive dozvole.
Kod sumnje na zarazu samo brisanje pojedinačne aplikacije možda neće biti dovoljno.
Savezni ured za informacijsku sigurnost (BSI) kod bankarskih trojanaca preporučuje promjenu pristupnih podataka nakon čišćenja uređaja i kontaktiranje banke.
U slučaju sumnje na Android malware s tako širokim mogućnostima pristupa može biti potrebno i vraćanje telefona na fabričke postavke.
