1. Android bankingfraude maakt gebruik van malware, specifiek de Gigabud trojan die sinds 2022 actief is, in combinatie met het hulpprogramma Vwork. Gigabud vraagt eerst om toegankelijkheidstoegang, toestemming om over andere apps te tekenen, en een uitzondering voor batterijbesparing.
2. Slachtoffers worden verleid om nep-applicaties te installeren, zoals nep-luchtvaart-, belasting- of overheidsapps, via phishingwebsites, berichten of socialemediaposts. Het downloaden van een nep-banking-app kan hen een valse zekerheid geven.
3. Na Gigabud-infecties wordt Vwork geïnstalleerd, een aangepaste versie van de open-source app cloner Shelter. Vwork creëert een geïsoleerd Android work profile.
4. Binnen dit work profile wordt een bankapp gekloond, waardoor een frauduleuze sessie wordt gescheiden van waarschuwingssignalen op het apparaat. Dit gebeurt doordat aanvallers de scheidingsfuncties van Android misbruiken.
5. Een beveiligingssignaal dat gekoppeld is aan malware in het persoonlijke profiel, volgt de gekloonde applicatie mogelijk niet naar het work profile. De bank ziet mogelijk een nieuwe, schone omgeving in plaats van het reeds gemarkeerde persoonlijke profiel, wat de link tussen apparaatrisico en frauduleuze transacties verzwakt.
6. Gigabud bevat commando's om Vwork te initialiseren, een applicatie te klonen en de kloonlijst te uploaden, wat aangeeft dat deze tools ontworpen zijn om samen te werken.
7. Vwork maakt het moeilijker om de fraude te detecteren; het launcher-icoon is verborgen en de kloonfuncties kunnen door een andere app worden bestuurd. Dit vermindert zichtbare aanwijzingen.
8. Na acceptatie van de toegangsrechten kan de beheerder het apparaat op afstand bedienen, geïnstalleerde apps weergeven, nep-inlogschermen over echte bankapps plaatsen en de schermvergrendelingscode vastleggen.
9. De beheerder kan vervolgens transacties uitvoeren via het 'schone' work profile, terwijl de activiteit achter een zwart scherm wordt verborgen.
10. In een geval in Indonesië was de gekloonde app een nepversie van een bankapplicatie. Tussen februari en juli 2026 werden in Indonesië ongeveer 1.469 gecompromitteerde apparaten en 1.281 potentieel gecompromitteerde logins waargenomen, met geschatte verliezen van ongeveer $960.939.
11. Deze aanpak wordt gekoppeld aan GoldFactory. Er zijn compatibele samples geïdentificeerd die gericht zijn op Brazilië, Colombia, Egypte, Indonesië, Laos, Mexico, Marokko, de Filippijnen, Thailand, Turkije en een lidstaat van de Samenwerkingsraad van Arabische Staten (GCC).
12. Een vroeg waarschuwingssignaal is het onverwacht aanmaken van een geïsoleerd work profile op een consumenten-telefoon.
13. Een bankapp die over profielen heen is geïnstalleerd, een bijna leeg profiel, of een tweede verdachte installatie kort daarna, zou risico moeten inhouden.
14. Veiligheidsteams moeten onverwachte creatie van work profiles, duplicatie van applicaties over profielen heen en misbruik van toegankelijkheid behandelen als gekoppelde waarschuwingssignalen. Deze aanpak kan het fraudepad blootleggen voordat een overschrijving is voltooid.
15. Gebruikers wordt geadviseerd applicaties alleen uit officiële winkels te installeren, toegankelijkheidsverzoeken van niet-legitieme tools af te wijzen en een tweede factor voor mobiel bankieren te gebruiken die niet afhankelijk is van sms.
16. Banken en wallet-aanbieders moeten logins koppelen aan vertrouwde apparaten, ongebruikelijke sessie-acties onderzoeken en hoog-risico transacties blokkeren wanneer een niet-herkende app actieve toegankelijkheidstoegang heeft. Detectie moet handtekeningen combineren met gedrag.
17. Aanvallers combineren social engineering, overlays, remote access en Android-functies die bedoeld zijn voor legitieme scheiding.
18. De belangrijkste les is dat een schone banksessie niet altijd een schoon apparaat betekent.