今回のキャンペーンは、脅威アクターがAndroidの仕事用プロファイル（Work Profile）を悪用し、悪意ある活動を被害者の通常のスマートフォン環境から切り離すことで、銀行アプリのセキュリティチェックを回避できることを示しています。
Gigabudは2022年から活動しており、Group-IBはGoldFactory脅威グループとの関連を指摘しています。標的は東南アジア、南アジア、中東、アフリカ、ラテンアメリカ全域のユーザーです。
このマルウェアは通常、フィッシングサイトやメッセージングアプリ、SNS投稿を通じて拡散されます。航空会社、税務当局、政府サービス、その他信頼されているブランドになりすました偽アプリとして配布されるのが特徴です。
インストール後、Gigabudはユーザー補助（アクセシビリティ）権限、オーバーレイ表示権限、バッテリー最適化の除外設定を要求します。被害者がアクセシビリティ権限を許可してしまうと、攻撃者は感染端末を遠隔から閲覧・タップ・入力操作するなど、自由に制御できるようになります。
このトロイの木馬は、インストール済みアプリの一覧を収集したり、偽の銀行ログイン画面をオーバーレイ表示したり、認証情報やロック画面のコードを取得したり、黒画面の裏で不正行為を隠したりすることも可能です。
Vworkは、隔離された仕事用プロファイル空間の作成・管理を目的としたオープンソースのAndroidツール「Shelter」を武器化して改造したフォークです。本来、Androidの仕事用プロファイルは仕事関連のアプリやデータをユーザーの個人プロファイルから分離するためのものです。
しかしVworkは、このモデルを変更し、他のアプリから制御可能なAPI経由でアプリの複製・管理機能を公開してしまいます。
Shelterとは異なり、Vworkはユーザーの直接操作を必要とするいくつかの安全策を取り除いています。これにより、サードパーティ製アプリが仕事用プロファイルをプロビジョニングしたり、アプリを複製したり、複製済みアプリの一覧を取得したり、隔離環境内でアプリを起動したりすることが可能になります。
Vworkのランチャーアイコンは非表示にされ、インターフェースは簡略化されており、多くの設定は外部から制御するアプリケーションに委ねられています。
Group-IBは、Gigabud感染直後にVworkがインストールされ、その後改ざんされた銀行アプリが続くパターンを観測しています。
Gigabudの検体には、Vworkのパッケージ名であるnet.yy.vworkが含まれており、initVwa、cloneApp、uploadCloneAppsといった専用のコマンド&コントロール用コマンドも組み込まれています。
これらのコマンドにより、Gigabudの運用者はVworkと通信して認証トークンを取得し、選択した銀行アプリを新たに作成した仕事用プロファイル内に複製することができます。
この手法が重要なのは、Androidの個人用プロファインと仕事用プロファインが、一般的に別々の環境として扱われる点にあります。
銀行のセキュリティSDKは個人用プロファイル内の不正な挙動を検知できても、後から作成されたクリーンな仕事用プロファイルから銀行アプリが起動された場合には、同じ警告が適用されない可能性があります。
攻撃者はまず、被害者の個人用プロファイル内でGigabudを使って端末の制御権を握り、認証情報を収集します。
その後Vworkを展開して隔離プロファイルを作成し、標的とする銀行アプリをその中に複製します。Group-IBによれば、インドネシアで確認されたある事例では、複製されたアプリは正規の銀行アプリを模した偽物だったとのことです。
注記: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記（例: [.]）にしています。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内でのみ行ってください。
16,000以上の組織から得られる最新のインテリジェンスで、脅威検知率を58%向上。SOCにTIフィードを統合
翻訳元: https://cyberpress.org/gigabud-exploits-android-work-profiles/
