GoldFactory arma Vwork: Gigabud clona le app bancarie e aggira i controlli antifrode

🛡️ Executive Summary

• GoldFactory ha trasformato il software open source Shelter in Vwork, strumento capace di clonare app bancarie dentro profili di lavoro Android isolati.
• Gigabud controlla il telefono, installa Vwork e usa il Work Profile per separare gli alert sul malware dalle successive transazioni fraudolente.
• Group-IB osserva 1.469 dispositivi compromessi in Indonesia tra febbraio e luglio 2026, con perdite stimate in circa 828.000 euro.

GoldFactory ha aggiunto una nuova tecnica di evasione al banking trojan Android Gigabud: invece di limitarsi a controllare il telefono compromesso, utilizza un’applicazione denominata Vwork per creare un Work Profile e clonare al suo interno le app bancarie. Vwork deriva da Shelter, progetto open source nato per consentire agli utenti di isolare le applicazioni sfruttando i profili di lavoro di Android, ma è stato modificato per esporre le funzioni di clonazione ad altre app e permettere a Gigabud di pilotarle da remoto. La tecnica serve a creare una separazione logica tra il profilo personale, dove il malware può essere rilevato, e quello isolato nel quale viene eseguita la successiva operazione bancaria, cercando così di spezzare la correlazione utilizzata dai sistemi antifrode.

GoldFactory trasforma Shelter in uno strumento per le frodi bancarie

L’analisi tecnica pubblicata da Group-IB parte dalla precedente campagna “Hook for Gold”, durante la quale i ricercatori avevano osservato Vwork installato pochi minuti dopo Gigabud, insieme ad applicazioni bancarie manipolate. L’analisi dei campioni ha successivamente mostrato che non si trattava di una coincidenza: alcune build di Gigabud contengono riferimenti espliciti al package net.yy.vwork e nuove istruzioni C2 progettate appositamente per controllare il software. Group-IB attribuisce entrambe le componenti a GoldFactory, gruppo responsabile dello sviluppo di Gigabud e già attivo dal 2022 con campagne di frode mobile in Asia, Medio Oriente, Africa e America Latina.

Vwork non è un malware autonomo nel senso tradizionale e non possiede un proprio canale di comando e controllo. È invece un fork weaponizzato di Shelter, applicazione open source che sfrutta la funzione Android Work Profile per creare uno spazio separato nel quale installare copie delle applicazioni. Shelter è progettato affinché sia il proprietario del telefono a controllare manualmente questo isolamento; Vwork modifica la logica trasformandola in un servizio controllabile programmaticamente. Le firme degli intent cross-profile vengono rimosse, alcune funzioni di scambio file diventano accessibili ad altre applicazioni e due nuovi componenti esportati consentono di creare il profilo di lavoro, clonare applicazioni, elencare le copie disponibili e avviare un’app arbitraria.

La tecnica mostra un’evoluzione rispetto ai banking trojan che si affidano esclusivamente ad Accessibility, overlay e controllo remoto. WindRelay e SpyNote avevano già trasformato un telefono Android compromesso in un ponte NFC per monetizzare contemporaneamente home banking e carta fisica; GoldFactory interviene invece sul modo in cui il dispositivo presenta le proprie applicazioni ai sistemi antifrode, utilizzando una funzione legittima di Android per creare un nuovo contesto operativo.

Gigabud controlla il dispositivo e installa Vwork dopo l’infezione

La catena di compromissione continua a partire dall’ingegneria sociale. GoldFactory distribuisce applicazioni fasulle attraverso siti di phishing, piattaforme di messaggistica e social network, impersonando compagnie aeree nazionali, autorità fiscali o servizi governativi. Le vittime vengono convinte a installare manualmente APK al di fuori degli store ufficiali. Al primo avvio Gigabud richiede accesso ai Servizi di accessibilità, autorizzazione a sovrapporre finestre alle altre applicazioni ed esclusione dalle ottimizzazioni della batteria. L’abilitazione di Accessibility rappresenta il vero punto di svolta perché permette all’operatore di leggere lo schermo, simulare input e controllare in tempo reale il telefono.

Il malware raccoglie quindi l’elenco completo delle applicazioni presenti sul dispositivo e lo invia al server C2, consentendo agli operatori di identificare specificamente le banche utilizzate dalla vittima. Quando viene aperta l’app finanziaria reale, Gigabud può visualizzare un overlay di login e intercettare le credenziali inserite; un ulteriore overlay invisibile può raccogliere anche il codice di sblocco del dispositivo. È un modello ormai ricorrente nel malware mobile avanzato: ToxicPanda 2.0 utilizza 167 comandi e overlay contro centinaia di app finanziarie, mentre altre famiglie combinano screen sharing e Accessibility per trasformare il telefono in uno strumento completamente pilotabile.

Leggi anche: Manic unisce banking malware e spyware e crea una rete mesh tra telefoni Android

Il Work Profile spezza il collegamento tra malware e transazione

La novità di Vwork emerge dopo questa prima fase. Gigabud riceve dal C2 l’ordine di installare il componente, quindi gli trasmette un token di autorizzazione e il package dell’applicazione da clonare. Vwork crea un Work Profile Android separato e porta al suo interno la banca presa di mira. In uno dei casi confermati da Group-IB, gli operatori hanno inserito nel profilo isolato una versione manipolata dell’app appartenente a un istituto bancario indonesiano.

L’obiettivo è sfruttare l’isolamento previsto dal sistema operativo. Applicazioni e dati presenti nel profilo personale e nel Work Profile vengono trattati come appartenenti a contesti differenti. Un SDK di sicurezza integrato nell’app bancaria può quindi rilevare indicatori della compromissione nel profilo personale senza necessariamente osservare gli stessi segnali nell’ambiente appena creato. Secondo Group-IB, il malware viene prima rilevato nel profilo originale ma le transazioni vengono eseguite successivamente nel profilo di lavoro, creando per i sistemi della banca l’apparenza di un nuovo dispositivo o di una nuova sessione non direttamente collegata all’alert precedente.

È questa separazione a rendere la tecnica particolarmente interessante. GoldFactory non prova necessariamente a rendere Gigabud completamente invisibile. Cerca invece di fare in modo che il segnale di compromissione e il momento del cash-out avvengano in due ambienti distinti, riducendo la capacità dei sistemi antifrode di correlare gli eventi. Il modello differisce quindi dalle normali tecniche di offuscamento e anti-analysis: viene sfruttata direttamente un’architettura di sicurezza Android progettata per isolare applicazioni aziendali e personali.

Vwork espone la clonazione come API e riduce la visibilità per la vittima

L’analisi del codice mostra quanto il fork sia stato modificato rispetto a Shelter. Vwork riduce il processo di configurazione del Work Profile a una sola schermata, tradotta in cinese e presentata come attivazione di uno “spazio virtuale”. Dopo l’installazione l’icona viene nascosta dal launcher, mentre le impostazioni normalmente controllate dall’utente nell’interfaccia Shelter vengono delegate alle applicazioni esterne. La presenza di Vwork può comunque essere individuata attraverso il file manager perché il software mantiene il ruolo di document provider.

Alcune modifiche sono ancora instabili sui build Android più vicini ad AOSP, mentre altri rami del codice introducono correzioni specifiche per diversi OEM. Questo dettaglio suggerisce un progetto ancora in sviluppo ma già utilizzato operativamente. Gigabud dispone inoltre di tre nuovi comandi associati direttamente a Vwork: initVwa, cloneApp e uploadCloneApps, oltre a logiche che identificano le applicazioni nel profilo isolato attraverso il prefisso vwa-.

La weaponization di un software open source legittimo non implica naturalmente alcun coinvolgimento del progetto Shelter. La tecnica dimostra piuttosto quanto sia semplice riutilizzare componenti progettati per la privacy e l’isolamento trasformandoli in strumenti offensivi quando un malware dispone già di privilegi sufficienti sul dispositivo. È una dinamica già osservata in altre campagne Android nelle quali funzionalità legittime diventano primitive offensive una volta ottenuto Accessibility, come nel caso di RedHook e del controllo completo del telefono senza privilegi root.

Indonesia conferma 1.469 dispositivi compromessi e quasi un milione di dollari di perdite

Group-IB ha individuato campioni Gigabud compatibili con Vwork indirizzati a Brasile, Colombia, Egitto, Indonesia, Laos, Messico, Marocco, Filippine, Thailandia, Turchia e un Paese membro del Gulf Cooperation Council. L’Indonesia è il mercato sul quale i ricercatori dispongono dei dati più concreti: tra febbraio e luglio 2026 sono stati osservati circa 1.469 dispositivi compromessi e 1.281 login potenzialmente compromessi, con perdite stimate in 960.939 dollari, circa 828.000 euro al cambio attuale. Group-IB precisa che questi numeri rappresentano soltanto l’attività osservata attraverso la propria telemetria e non devono essere considerati una stima completa dell’impatto regionale.

La fase di monetizzazione avviene direttamente sul telefono della vittima. Con il controllo remoto già ottenuto e il profilo isolato disponibile, gli operatori possono eseguire le transazioni mentre una schermata nera nasconde l’attività. Gigabud dispone anche di meccanismi ATS basati su Accessibility per automatizzare tap e inserimento di testo, riducendo ulteriormente la necessità di intervento manuale. La distinzione tra furto delle credenziali e controllo del dispositivo diventa quindi sempre meno significativa: il criminale non deve necessariamente trasferire il conto su un proprio smartphone se può utilizzare quello autentico della vittima.

Continua con:

• StreamRat usa Meta Ads per diffondere un banking trojan Android con VNC e Accessibility
• TrickMo Variant C trasforma Android in un nodo remoto con overlay, tunnel SSH e proxy SOCKS5

Le banche devono osservare il dispositivo e non soltanto la singola transazione

La tecnica GoldFactory rende insufficiente un modello di antifrode che consideri separatamente login, malware detection e pagamento. Group-IB indica come segnali precoci la comparsa improvvisa di un Work Profile su un telefono consumer, installazioni identiche della stessa applicazione bancaria in profili differenti, ambienti isolati quasi vuoti, Accessibility abilitato per software che non dovrebbe utilizzarlo e nuove installazioni provenienti da sorgenti non ufficiali immediatamente dopo un’altra app sospetta.

Per gli istituti finanziari diventano quindi centrali device binding, firma crittografica delle chiavi e correlazione comportamentale tra sessioni. Un login valido non dovrebbe essere sufficiente a rendere affidabile una nuova istanza dell’app bancaria se il dispositivo mostra contemporaneamente indicatori di controllo remoto o creazione anomala di profili. Per gli utenti resta invece essenziale evitare APK distribuiti attraverso chat, social o siti che imitano enti pubblici e rifiutare Accessibility alle applicazioni che non hanno una reale funzione assistiva.

Gigabud e Vwork rappresentano soprattutto un cambiamento nella logica dell’evasione mobile. GoldFactory non tenta soltanto di nascondere il malware: costruisce un secondo ambiente Android nel quale eseguire la frode e sfrutta la separazione tra profili contro gli stessi sistemi progettati per proteggere il dispositivo. Il Work Profile nasce per isolare le applicazioni e ridurre il rischio; nelle mani dell’attaccante, quella stessa separazione diventa uno strumento per isolare anche la transazione fraudolenta dal segnale che avrebbe dovuto impedirla.