Gigabud Mengklon Aplikasi Bank dalam Work Profile Android

Gigabud Mengklon Aplikasi Bank dalam Work Profile Android

Indonesia menjadi tempat ujian untuk teknik trojan perbankan yang mempersenjatai salah satu ciri korporat paling dipercayai Android. Penyelidikan Group-IB yang diterbitkan pada 9 September menerangkan bagaimana kumpulan ancaman GoldFactory memanjangkan trojan Gigabud dengan aplikasi bank versi klon yang bersarang dalam Work Profile Android yang tersembunyi — persekitaran terpencil di mana pengesanan malware dalam profile peribadi tidak sampai.

Daripada telemetri Group-IB di Indonesia antara Februari dan Julai 2026: kira-kira 1,469 peranti terjejas dan 1,281 log masuk berpotensi terjejas, dengan anggaran kerugian hampir US$1 juta. Firma itu berhati-hati memanggil angka ini sebagai petunjuk, bukan gambaran penuh kesan serantau.

Permainan: pecahkan fraud merentas dua profile

Work Profile Android direka untuk enterprise — ia mencipta ruang berasingan yang terpencil pada telefon peribadi supaya app kerja hidup berasingan. Isolasi itulah yang menjadi tujahannya. Group-IB menunjukkan GoldFactory mempersenjatakan isolasi ini untuk memutuskan kaitan antara pengesanan malware dengan transaksi fraud.

Rantaian jangkitan berjalan seperti ini:

1. Mangsa memasang app palsu — disamarkan sebagai syarikat penerbangan kebangsaan, pihak berkuasa cukai atau portal kerajaan — di luar app store rasmi, menyangkanya sah. Sebenarnya itu Gigabud.
2. Pada pelancaran pertama, Gigabud meminta akses Accessibility, kebenaran melukis di atas app lain, dan pengecualian daripada battery saver. Memberi akses Accessibility bermakna operator mendapat kawalan jauh penuh ke atas telefon.
3. Gigabud menghantar senarai penuh app yang dipasang kepada operator, kemudian membuka sambungan langsung dan menunggu arahan.
4. Apabila mangsa membuka aplikasi bank sebenar, skrin log masuk palsu menangkap apa sahaja yang ditaip; lapisan overlay yang tidak kelihatan juga menangkap kod lock-screen.
5. Operator mengarahkan Gigabud memasang Vwork, yang mencipta work profile dan mengklon aplikasi bank ke dalamnya. Dalam satu kes yang disahkan, salinan itu ialah versi palsu aplikasi bank Indonesia sebenar.
6. Operator menjalankan transaksi terus pada telefon mangsa — di sebalik skrin hitam — menggunakan app klon di dalam work profile.

Sebab teknik ini berkesan ialah sempadan profile itu sendiri. Dari sudut pandang bank, transaksi itu berasal daripada peranti baharu dan mungkin kelihatan tiada kaitan dengan malware yang sudah dikesan dalam profile peribadi. Sementara itu, alert pengesanan berbunyi dalam profile peribadi tetapi tidak sampai ke work profile yang baharu dicipta, kerana persekitaran fraud tiada sebarang signal jangkitan. Pengesanan dan pengeluaran tunai sengaja dipecahkan.

Vwork: open-source, dipersenjatakan semula

Build yang menjadikan semua ini boleh berlaku ialah Vwork — fork kepada Shelter, tool pengklonan app open-source yang terkenal. Shelter ialah utiliti device-owner yang sah: ia memindahkan app ke dalam work profile secara manual. Vwork mengubah model kepercayaan. Kemampuannya didedahkan sebagai API supaya app pihak ketiga (Gigabud) boleh memandu pengklonan, provisioning dan pengurusan app dari jauh.

Perbezaan utama yang sengaja dibuat dan dikenal pasti Group-IB:

• Tandatangan cross-profile intent daripada Shelter upstream dibuang, jadi app mana-mana boleh berinteraksi dengan Vwork.
• Keupayaan read/write fail didedahkan kepada mana-mana aplikasi dalam profile yang sama.
• Vwork memastikan sideloading dibenarkan dan Accessibility dihadkan dalam profile yang dibekalkan — menyembunyikan app klon daripada jejaknya sendiri.
• Dua exported component baharu mendedahkan empat tindakan: memulakan provisioning work-profile, mengklon aplikasi, menyenaraikan aplikasi yang diklon, dan membuka app arbitrary.
• Pengklonan dikawal token — ia memerlukan kebenaran daripada pelayan luaran, dengan alamat pelayan dan token dibekalkan Gigabud.

Vwork tiada command-and-control sendiri. Ia menerima arahan melalui Gigabud sebagai proxy, dan sebahagian sebab ia terlepas daripada radar analisis app: pengklon kelihatan seperti utiliti terpencil, dan trojan memandunya seperti boneka. Arahan C2 Gigabud yang baharu amat jelas:

# Gigabud C2 commands that drive Vwork (per Group-IB)
initVwa          # provision a work profile on the device
cloneApp         # clone a target package into the profile (token-gated)
uploadCloneApps  # report which apps were cloned back to C2

Secara lalai Gigabud juga menyembunyikan ikon pelancar Vwork, dan UI dipenyetempatkan ke bahasa Cina. Profile yang dibekalkannya dinamakan semula "work profile" → "virtual space" — butiran yang direka supaya mangsa yang terjumpa skrin itu membaca model mental yang salah.

Skop serantau, Indonesia dalam sasaran

Sampel Gigabud yang serasi dengan Vwork ditemui menyasarkan Brazil, Colombia, Egypt, Indonesia, Laos, Mexico, Morocco, Philippines, Thailand, Türkiye dan sebuah negara anggota GCC. Penganalisis fraud APAC Group-IB, Bryan Karunachandra, memaklumkan Dark Reading bahawa GoldFactory menyasarkan kira-kira sedozen bank Indonesia, termasuk institusi milik kerajaan dan swasta, dalam kempen ini.

Bagi pembaca Malaysia, ini bukan cerita yang jauh. Indonesia menggunakan teknologi perbankan mudah alih yang sama — dan jenis umpan yang sama — seperti yang kita lihat di sini. Fraud mudah alih berasaskan QR sudah merugikan pengguna Malaysia sebanyak RM28.67 juta; pengajarannya: app palsu yang menarik dari luar Play Store ialah pintu masuk, dan pemberian Accessibility ialah langkah yang membuka akses penuh.

Emas bagi operator GoldFactory ialah bank dengan korelasi peranti yang lemah: "log masuk peranti baharu" yang mencurigakan yang dihasilkan persekitaran klon. Ini sebab cadangan teras Group-IB kepada bank ialah device binding dan menyekat transaksi daripada mana-mana peranti dengan akses Accessibility aktif pada app yang tidak dikenali — kawalan yang tidak bergantung kepada pengesanan sedar-profile. Signal tingkah laku mengalahkan pencocokan tandatangan di sini, kerana work profile tiada sebarang penunjuk jangkitan profile peribadi.

Ancaman berasingan tetapi selari ialah Mantax Otax, didokumentasikan pasukan zLabs Zimperium pada hari yang sama — trojan perbankan agresif yang dikaitkan dengan aktor ancaman Indonesia dan menyasarkan mangsa Indonesia. Bingkai analisis ketua saintis Zimperium, Nico Chiaraviglio, wajar dipinjam: malware perbankan mudah alih tertumpu di kawasan yang kewangan mudah alihnya meluas dan kejuruteraan sosial boleh dipersetempatkan. Indonesia ialah contoh tepat itu, dan vektor yang sama ialah tekanan kekal ke atas Malaysia.

Cara mengesannya sebelum pengeluaran tunai

Isyarat amaran terawal yang paling boleh dipercayai Group-IB bersifat tingkah laku dan tidak memerlukan pemeriksaan APK: telefon pengguna yang tidak pernah disediakan majikan tiba-tiba mendapat work profile terpencil. Signal lain dalam rantaian:

• Pemasangan aplikasi bank yang sama merentas lebih satu profile.
• Work profile terpencil tanpa satu pun app biasa pengguna di dalamnya.
• Akses Accessibility didayakan untuk app yang tiada urusan menjadi tool accessibility.
• Pemasangan app yang tidak dijangka daripada sumber tidak sah datang tidak lama selepas pemasangan lain.

Bagi pengguna akhir, saranan praktikal tidak berubah tetapi wajar diulang: pasang aplikasi bank hanya daripada store rasmi, jangan sekali-kali meluluskan Accessibility untuk app yang bukan tool accessibility, dan elakkan SMS sebagai second factor perbankan. Work profile klon yang tidak pernah anda minta ialah isyarat segera untuk berhenti dan sahkan.

Bagi developer yang menghantar app kewangan Android, pengajarannya ialah sandbox escape bukan keseluruhan model ancaman mudah alih. GoldFactory tidak pernah melarikan diri daripada sempadan profile — ia mengeksploitasi sempadan itu sendiri, kerana signal keselamatan yang dihasilkan backend anda dan SDK pada peranti dihadkan skopnya kepada satu profile. Korelasi fraud sedar-profile, device binding dan pemeriksaan tingkah laku ialah kawalan yang benar-benar bertahan daripada kelas serangan ini.

Sumber

• Group-IB — Vwork: Weaponized Open-source Software as an Addon for Gigabud
• Dark Reading — Indonesia Hit by Android Banking App-Cloning Campaign
• Zimperium zLabs — Mantax Otax: Indonesian mobile ransomware with spyware integration