O trojan bancário Gigabud agora instala um segundo app para Android que cria um perfil de trabalho em um telefone infectado e coloca dentro dele um app bancário adulterado, informou a empresa de segurança Group-IB em um relatório publicado em 9 de setembro.
Um perfil de trabalho é um espaço separado que o Android normalmente reserva para apps corporativos, e tudo o que fica ali permanece isolado do restante do ambiente pessoal. Segundo a Group-IB, essa divisão oculta o trojan das verificações de malware do próprio app bancário, de modo que um pagamento fraudulento pode parecer não ter relação com o alerta já emitido no telefone. A empresa confirmou toda a cadeia em dispositivos infectados na Indonésia.
A documentação da plataforma Android informa que qualquer app no perfil principal do telefone pode iniciar a configuração de um perfil de trabalho, e que o usuário é avisado sobre a função desse perfil antes que ele seja criado.
A Group-IB afirmou que apps bancários trazem código de segurança que procura malware conhecido no telefone. A partir de um perfil de trabalho, essa varredura não alcança o espaço pessoal onde o trojan está instalado.
O Gigabud é um trojan de acesso remoto, um malware que entrega ao operador controle ao vivo do telefone. Ele está ativo desde 2022 e foi associado a um grupo que a empresa chama de GoldFactory. A infecção chega aos aparelhos disfarçada de app falso, que se apresenta como uma companhia aérea nacional, uma repartição fiscal ou um portal governamental, instalado fora da loja oficial.
Na primeira execução, o app pede acesso à Acessibilidade, permissão para desenhar sobre outros apps e permissão para continuar funcionando em segundo plano e economizar bateria. Conceder o acesso à Acessibilidade é o ponto em que o operador passa a ter controle real do dispositivo.
Em seguida, o app envia ao operador uma lista de todos os apps instalados no telefone, para que os alvos bancários possam ser identificados. Quando a vítima abre o app bancário verdadeiro, uma tela falsa de login aparece sobre ele e captura o que é digitado. Uma segunda camada, invisível para o usuário, rouba o código de bloqueio da tela.
A Group-IB disse que o operador pode executar transações no telefone da vítima tocando e digitando por meio da Acessibilidade, enquanto uma tela preta encobre o que está acontecendo.
Esse segundo app se chama Vwork. A Group-IB afirmou que sua arquitetura e os nomes de classe correspondem ao Shelter, uma ferramenta de código aberto que usa o mesmo recurso de perfil de trabalho para permitir que o dono do telefone isole ou duplique apps.
A diferença está em quem controla o processo. O Shelter é operado manualmente pela pessoa que está com o telefone. Já o Vwork expõe as mesmas funções a outros apps: criar um perfil de trabalho, clonar um app para dentro dele, listar o que há ali e abrir um app dentro do perfil.
A Group-IB disse que as verificações que impediam outros apps de chamar essas funções foram removidas, permitindo que qualquer app no dispositivo controle o Vwork. Antes de clonar qualquer coisa, o Vwork pede autorização a um servidor externo, e o Gigabud carrega comandos escritos especificamente para ele.
O Shelter conduz o usuário por várias telas antes de criar um perfil. O Vwork reduz isso a um único aviso, escrito em chinês, segundo a Group-IB.
Nos dispositivos na Indonésia, a Group-IB disse que as instalações aconteceram nessa ordem: primeiro o Gigabud, depois o Vwork em poucos minutos e, por fim, o app bancário adulterado.
No caso descrito em detalhes no relatório, o que foi colocado no perfil não era uma cópia do próprio app bancário da vítima. Segundo a Group-IB, “a cópia era uma versão falsa do app de um banco real da Indonésia”.
A Group-IB analisou uma única amostra do Vwork e a descreveu como ainda em desenvolvimento ativo. Algumas das funções adicionadas são instáveis e não se comportam como o esperado em versões do Android próximas da versão de código aberto. O relatório não informa em quais modelos de telefone ou versões do Android a técnica funciona.
Amostras do Gigabud construídas para funcionar com o Vwork foram encontradas mirando Brasil, Colômbia, Egito, Indonésia, Laos, México, Marrocos, Filipinas, Tailândia, Türkiye e um país do Conselho de Cooperação do Golfo que a Group-IB não identificou. São amostras, e não infecções confirmadas. Apenas a cadeia observada na Indonésia foi confirmada.
Entre fevereiro e julho de 2026, a Group-IB contabilizou cerca de 1.469 dispositivos comprometidos e 1.281 logins possivelmente comprometidos na Indonésia, com perdas estimadas em aproximadamente US$ 960.000. Os números se referem ao que a própria empresa observou, e não ao país como um todo. Segundo a Group-IB, eles mostram atividade detectada e não devem ser lidos como um retrato completo da situação. A empresa não informou quantos desses dispositivos tinham o Vwork instalado.
A Group-IB atribui as duas ferramentas ao GoldFactory. A empresa apontou um trecho do código do Vwork que faz referência a nomes de pacotes do Gigabud, indicadores de rede compartilhados pelos dois e registros de desenvolvimento escritos em chinês, mas afirmou que não pode divulgar esses indicadores.
Como verificar se há um perfil de trabalho no telefone
O perfil de trabalho aparece nas configurações do telefone. As orientações da Google para usuários do Android explicam onde encontrá-lo e como removê-lo.
Abra Configurações e depois Senhas e contas. A aba Trabalho aparece ali se o telefone tiver um perfil de trabalho.
Apps dentro de um perfil de trabalho exibem um pequeno ícone de maleta nos seus símbolos.
Para removê-lo, abra a aba Trabalho, escolha Remover perfil de trabalho e depois Excluir. A Google informa que isso remove tudo o que estiver armazenado dentro do perfil.
Verifique se o app que criou o perfil desapareceu. A Group-IB disse que o Vwork oculta seu ícone do iniciador de apps, embora ele ainda apareça em um gerenciador de arquivos.
Os passos da Google pressupõem que o telefone pertence à pessoa que o está usando, já que o usuário não pode remover um perfil pertencente ao empregador. O relatório da Group-IB não informa se apagar o perfil encerra o risco enquanto o Gigabud ainda estiver instalado no espaço pessoal.
A recomendação da Group-IB aos usuários é instalar apps apenas de lojas oficiais, negar acesso à Acessibilidade a qualquer app que não seja uma ferramenta de acessibilidade e usar um segundo fator para apps bancários que não dependa de SMS.
Para os bancos, os sinais listados não são arquivos de malware conhecidos, mas comportamentos do telefone: um perfil de trabalho aparecendo em um aparelho de consumidor comum que ninguém configurou, o mesmo app bancário exibindo marcas de instalação em ambos os perfis, um perfil sem nenhum dos apps que a pessoa normalmente teria e a Acessibilidade ativada para um app que não tem motivo para precisar dela.
O Vwork foi identificado durante uma pesquisa anterior da Group-IB sobre a campanha do GoldFactory de apps bancários adulterados no Sudeste Asiático, publicada em dezembro de 2025. Segundo a empresa, o Vwork foi visto em ambiente real apenas nessa campanha.
Colocar um app bancário dentro de um contêiner para contornar suas defesas não é novidade. A Promon descreveu em 2023 o FjordPhantom, que executava um app bancário real dentro de um contêiner virtual para mudar o comportamento do app por dentro. Isso funcionava ao romper a barreira que o Android cria entre apps. O Vwork faz quase o oposto, usando uma barreira que o próprio Android já oferece para colocar o trojan além das verificações descritas pela Group-IB.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...