Gigabud inganna Android: il profilo di lavoro aggira i controlli delle app bancarie

Il trojan bancario Gigabud sta evolvendo con una tecnica che sfrutta una funzione legittima di Android per eludere i controlli di sicurezza delle app di home banking. In pratica il malware installa una seconda applicazione che crea un profilo di lavoro Android sul telefono infetto e poi inserisce al suo interno una app bancaria manomessa.

Il profilo di lavoro è una area separata pensata normalmente per l’uso aziendale, dove app e dati restano isolati rispetto allo spazio personale. Proprio questa separazione diventa un vantaggio per i criminali: molte app bancarie eseguono verifiche anti-malware sul dispositivo, ma se la app bancaria fasulla gira dentro il profilo di lavoro, le sue scansioni possono non raggiungere lo spazio personale dove risiede il trojan, riducendo la capacità di rilevamento.

Gigabud è un remote access trojan attivo dal 2022, distribuito spesso tramite app fasulle scaricate fuori dagli store ufficiali e camuffate da servizi affidabili come compagnie aeree, portali governativi o uffici fiscali. Dopo l’installazione, il malware spinge l’utente a concedere permessi critici come Accessibilità, overlay sopra altre app e possibilità di restare attivo in background. Il permesso di Accessibilità è centrale per il controllo remoto: consente all’operatore di toccare e digitare sul dispositivo, automatizzare azioni e avviare transazioni, spesso nascondendo tutto con una schermata nera per non far vedere cosa sta accadendo.

Un passaggio chiave dell’attacco è la raccolta dell’elenco completo delle applicazioni presenti sul telefono, così da identificare le app bancarie da colpire. Quando la vittima apre la propria app reale, possono comparire schermate di login false in overlay per rubare credenziali e, in parallelo, un overlay invisibile può intercettare anche il codice di sblocco del dispositivo.

La seconda app usata per creare e gestire il profilo di lavoro è stata osservata con il nome Vwork. La sua logica ricorda strumenti leciti di isolamento e clonazione app basati su profili di lavoro, ma con una differenza sostanziale: le funzioni vengono esposte ad altre app e quindi pilotate dal malware, includendo creazione del profilo, clonazione o installazione della app bancaria alterata e avvio dell’app nel contenitore. In alcune infezioni confermate, la app inserita nel profilo non era una copia della banca della vittima, ma una versione falsa di una banca reale, progettata per ingannare e facilitare pagamenti fraudolenti.

Per difendersi

• Installare app solo da store ufficiali, evitando APK e sorgenti non verificate.
• Negare permessi di Accessibilità a qualunque app che non sia realmente uno strumento di accessibilità.
• Attivare l’autenticazione a due fattori che non dipenda da SMS.
• Verificare la presenza di un profilo di lavoro inatteso su un telefono personale (icone con badge a forma di valigetta e impostazioni “Work” nel menu account).