GoldFactory、オープンソースのVworkアプリクローナーを兵器化しGigabudバンキングマルウェア攻撃に悪用

GoldFactoryは、オープンソースアプリケーション「Shelter」を改造したVworkを併用することで、Androidバンキング型トロイの木馬「Gigabud」の回避能力を拡張しました。

このコンパニオンツールはAndroidの「仕事用プロファイル」による分離機能を悪用し、標的となったバンキングアプリを別の管理環境へクローンします。これにより、被害者の個人プロファイル上で検知されたマルウェアの兆候と、同一端末上の別環境で行われる不正行為との関連性を弱めてしまいます。

アンチマルウェアソフトウェア

この一連の動作パターンに加え、Gigabudの検体にVworkとの明示的な連携ロジックが含まれていることから、Vworkは無関係なアプリケーションではなく、GoldFactoryのモバイル詐欺ツールキットを構成する運用コンポーネントであることがうかがえます。

2022年から活動しているGigabudは、Group-IBによってGoldFactoryの犯行とされるAndroid向けリモートアクセス型トロイの木馬です。東南アジア、南アジア、中東、アフリカ、ラテンアメリカ全域の被害者に対して使用されてきました。

攻撃者は通常、フィッシングサイト、メッセージングプラットフォーム、ソーシャルメディアを使った誘導、そして詐欺電話を組み合わせ、航空会社や税務当局、政府サービスを装ったAPKをサイドロードするよう標的を誘導します。

インストールされると、Gigabudはアクセシビリティ権限、オーバーレイ権限、バッテリー最適化の除外設定といった、リスクの高い権限を要求します。

特に重要なのがアクセシビリティ権限です。この権限があれば、攻撃者は画面上のコンテンツを読み取り、オーバーレイを使って認証情報を窃取し、タップやジェスチャーを自動化し、画面ロックを解除し、侵害した端末を遠隔操作できるようになります。

GoldFactoryによる一連のキャンペーンでは、これまでにも巧妙な偽Google Playページや、政府機関を騙るソーシャルエンジニアリングの手口を使ってマルウェアを配布してきました。

GBhackersと共有されたレポートの中でGroup-IBは、「Hook for Gold」と名付けた調査の過程でVworkを特定したと述べています。Gigabud感染の直後に、改ざんされたバンキングアプリと共にこのアプリケーションがインストールされる事例が繰り返し観測されたことがきっかけでした。

Gigabudバンキングマルウェア

Vworkは、Androidの企業向け機能である「仕事用プロファイル」を端末レベルの回避レイヤーに転用することで、詐欺の手口を一変させています。

アップストリームのオープンソースプロジェクトであるShelterは本来、端末所有者が手動で分離されたアプリ空間を作成できるように設計されたものです。

Vworkはこの基本的なアーキテクチャを維持しつつ、クローン作成やアプリ管理の機能を、他のアプリケーションが利用できるAPIとして公開しています。

実際のところ、Gigabudはこのプロファイルの作成、標的パッケージのクローン化、クローンされたアプリケーションの列挙、そして分離環境内でのアプリケーション起動を、Vworkに指示できるようになっています。

この改変は運用面で重要な意味を持ちます。Group-IBの調査によれば、Vworkはプロファイル間のやり取りに関するShelter本来の制限を取り除き、ファイル共有の挙動を変更し、サイドロードに対応し、作成されたプロファイル内でのアクセシビリティサービスの使用を制限し、さらにランチャーアイコンを非表示にします。

セットアップの流れも簡略化された起動プロンプトのみに縮小されており、設定の大部分はユーザーインターフェースに残す代わりに、外部のコントローラーへ委ねられています。

Vworkと連携するよう作られたGigabudの検体は、パッケージ名net.yy.vworkを宣言し、initVwa、cloneApp、uploadCloneAppsといった新たなコマンド&コントロール機能を備えています。

また、仮想化環境内のアプリを扱う際、C2との通信ではアプリ識別子にvwa-という接頭辞を付与します。

アンチマルウェアソフトウェア

クローン作成の処理は外部からの認可に依存しており、Gigabudは選択した標的パッケージのクローン化をVworkに指示する前に、自らのインフラからトークンを取得します。

この分離構造は、セキュリティ上のテレメトリを無効化することを狙ったものです。銀行側は個人プロファイル内でマルウェアや不審なアクセシビリティの挙動を検知できたとしても、その後新たに作成された仕事用プロファイルのインスタンスを通じて行われる取引は、別の、いわば「クリーンな」アプリ環境から発生しているように見えてしまいます。

確認されたインドネシアの事例の一つでは、攻撃者はGigabudとVworkを展開した後、正規の銀行アプリケーションを装った偽バージョンをクローンしていました。

Group-IBは、ブラジル、コロンビア、エジプト、インドネシア、ラオス、メキシコ、モロッコ、フィリピン、タイ、トルコ、そして名前が伏せられた湾岸協力会議(GCC)加盟国を標的とする、Vwork対応のGigabud亜種を観測しました。

インドネシアでは、2026年2月から7月にかけてのテレメトリで、約1,469台の侵害端末と1,281件の侵害された可能性があるログインが記録されており、推定される被害額は約960,939ドルに上るとみられています。

金融機関にとって、検知は単一のマルウェアシグネチャではなく、行動パターンに着目すべきです。具体的には、一般消費者向け端末上での予期しない仕事用プロファイルの作成、複数プロファイルにまたがるバンキングアプリの重複インストール、不自然なサイドロードの手順、アクセシビリティ機能の悪用、そしてリスクの高い取引の直前に見られる、中身の乏しい仕事用プロファイル環境などが挙げられます。

こうした兆候を相関的に分析することで、攻撃者が不正送金を完了させる前に、このプロファイル分離という手口を暴くことができます。

侵害指標(IOC)

注: IPアドレスおよびドメインは、誤ってアクセスされたりハイパーリンク化されたりすることを防ぐため、意図的に無効化表記(defang、例: [.])としています。再有効化(re-fang)は、MISP、VirusTotal、あるいは自組織のSIEMなど、管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。

★ 7段階のメトリックゲート方式によるAI SOC導入フェーズを学ぶ – 無料AI SOC導入プレイブック2026をダウンロード。