Gigabudがバンキング詐欺を隠すためにAndroidの職場プロファイルを悪用

個人用アプリと業務用アプリを分離するために設計されたAndroidの機能が、バンキング詐欺の隠れ蓑になっています。Group-IBは、GigabudとVworkの組み合わせについて説明しており、確認された攻撃連鎖では、職場プロファイルを作成し、その中に偽の銀行アプリを配置したうえで、1台のデバイス上で銀行への通信経路を断ち切ります。

Vworkが正規ツールをどのように悪用するか

Vworkは、Androidの職場プロファイルを隔離空間として利用するオープンソースアプリ「Shelter」をベースにしています。通常のShelterはスマートフォン所有者による操作を必要としますが、Vworkの開発者は外部呼び出しに対する制限を取り払っています。Gigabudはこれに対して、プロファイルの作成、目的のアプリのクローン作成、コピーの一覧取得、そしてその起動を指示できます。Group-IBは、分析記事で、GigabudおよびGoldFactoryに関連するVworkのアプリクローン手法の詳細を公開しています。

プロファイル分離が銀行側の検知を無効化する理由

プロファイルの分離は、バンキングアプリが行う検証の一部を回避するのに役立ちます。職場プロファイル内の署名確認の仕組みは、デバイスの個人領域にとどまるGigabudを必ずしも検知しません。銀行側はまず、金融取引を伴わない不審な挙動に気づき、その後に新しいプロファイルから発信された送金を受け取ることになりますが、これを別デバイスからのイベントとして認識してしまいます。

攻撃の流れを段階ごとに見る

隠れた実行環境を作成する前に、GigabudはAndroidのアクセシビリティサービスを通じて制御権を握り、インストール済みアプリの一覧を収集して、狙いを定める銀行を特定します。偽のウィンドウがバンキングの認証情報を窃取する一方で、別の不可視レイヤーが画面ロック解除コードを盗み出します。送金の実行中は、このトロイの木馬が被害者に代わって画面を操作し、黒い画面オーバーレイでオペレーターの操作を隠蔽します。

インドネシアで確認された被害

Group-IBは、Gigabud、続いてVwork、そして偽のバンキングアプリという一連の流れが、インドネシア国内の感染デバイス上で完全な形で確認されたとしています。2026年2月から2026年7月にかけて、同社はインドネシア国内でおよそ1,469台の感染デバイス、約1,281件の侵害された可能性のあるログイン情報、そして約960,939ドルの損失を確認しました。この数値は、Group-IBが観測できた範囲の活動に限られるものです。

標的はより広範囲、開発も活発に継続

Vworkと連携可能なGigabudの検体は、ブラジル、メキシコ、タイ、トルコを含む11の国・地域向けに確認されていますが、報告書によればインドネシア以外でのVwork感染は確認されていません。Group-IBは単一のVwork検体を分析しており、このプログラムは現在も活発に開発が続いていると見ています。新たに追加された一部の機能は、AOSPに近いAndroidビルド上では不安定になることが確認されています。

攻撃者の特定と防御策

Group-IBは両プログラムをGoldFactoryに関連付けています。GoldFactoryはこれまでにも、Androidユーザーを狙った詐欺キャンペーンでGigabudを使用してきました。対策として同社は、公式ストアからのみアプリをインストールすること、通常のアプリにアクセシビリティ権限を決して付与しないこと、そしてバンキング取引にはSMSに依存しない第二要素認証を使用することを推奨しています。