Gigabudがアプリクローンでバンキングアプリを偽装、詐欺検知を回避

Androidバンキングトロジャン「Gigabud」が新たにバンキングアプリを別のAndroidワークプロファイルへクローンする機能を備えました。これにより、詐欺実行者はマルウェアの検知アラートとその後に続く取引との間のつながりを断ち切る手段を手にしています。

Group-IBは9月9日に公開した調査レポートで、Gigabudがオープンソースのクローンアプリ「Shelter」を武器化して改造した「Vwork」と組み合わせて使われていると報告しました。両者の背後にはGoldFactoryがいるとみられ、同グループがそれぞれを開発ないし独自にカスタマイズしたと結論付けています。

この感染チェーンの全体像が確認されたのはインドネシアのデバイスのみでした。ただし、Vworkと連携するよう構築されたGigabudのサンプルは、ブラジル、コロンビア、エジプト、メキシコ、タイ、トルコを含む11カ国を標的にしていることが判明しています。

Vworkはバンキングアプリをワークプロファイル内に隠蔽

Vworkは、Androidの「ワークプロファイル」機能を利用してアプリを分離された環境にクローンします。Shelterがデバイス所有者自身の操作を前提に設計されているのに対し、Vworkはそのクローン機能をデバイス上の他のどのアプリからでも呼び出せるインターフェースとして公開している点をGroup-IBは指摘しています。

Gigabudのサンプルにはこの機能専用のコードが組み込まれており、プロファイルを準備するコマンド、指定したアプリをクローンするコマンド、クローン結果を報告するコマンドという3つの新規コマンドが確認されました。クローン処理には外部の認証サーバーから発行されるトークンが必要で、Gigabudがこれを取得する仕組みになっています。

Group-IBによれば、この手法の狙いは検知の分断にあります。一方のプロファイルにあるアプリは、別のプロファイルにおけるシグネチャベースの検知からはほとんど見えない状態になるため、個人用プロファイルで発生したアラートは、その後に作成されたワークプロファイル内では発火しません。

攻撃者はまずマルウェアをインストールし、しばらく待機した後、銀行のアプリを新しいプロファインにクローンし、そこから取引を実行します。銀行側からは、マルウェアの履歴がない未認識のデバイスから支払いが行われているように見えます。

その後、偽のログイン画面が銀行の認証情報を取得する一方、別の不可視オーバーレイが画面ロックのコードを奪います。詐欺行為そのものが実行される際には、黒い画面で端末上の操作内容が隠蔽されます。

モバイルバンキングトロジャンの関連記事: RokarollaトロジャンはバンキングアプリRokarolla、銀行詐欺とデバイス監視を組み合わせる

詐欺検知が直面する新たな「分断」問題

インドネシアでは2026年2月から7月の間に、Group-IBは約1469件の侵害デバイスと1281件の侵害が疑われるログインを観測し、推定被害額はおよそ96万939米ドルに上ります。同社はこの数値を地域全体を代表するものではなく、あくまで実態を示す一例と位置付けています。

Gigabudは2022年から活動を続けており、フィッシングサイトやメッセンジャー、ソーシャルメディアを通じて被害者に接触し、航空会社や税務当局、政府機関のアプリを装います。初回起動時にはユーザー補助（アクセシビリティ)機能へのアクセス、オーバーレイ権限、バッテリー最適化の除外を要求しますが、このうちユーザー補助機能へのアクセスこそが攻撃者に端末の制御権を与える起点となっています。

Group-IBは銀行が注視すべき6つの行動シグナルを挙げています。ユーザー自身が設定していないワークプロファイルが端末上に現れること、複数のプロファイル間でバンキングアプリのマーカーが一致すること、隔離された環境がそれ以外は空の状態であること、アクセス権限が必要な理由のないアプリがユーザー補助機能へのアクセスを持っていることなどが含まれます。

Group-IBは、これらのうち2つ以上が同時に見られる場合は高リスクのセッションとして扱うべきだと述べています。また、盗まれたログイン情報による支払いの不正承認を防ぐためのデバイスバインディングの導入、そしてユーザーには公式ストアのみの利用を推奨しています。