Gigabud ist ein Remote-Access-Trojaner, der dem Betreiber die laufende Kontrolle über das Telefon verschafft. Er gelangt als gefälschte App auf die Geräte — getarnt als nationale Fluggesellschaft, Steuerbehörde oder Behördenportal — und wird außerhalb des offiziellen Stores installiert. Beim ersten Start verlangt er Zugriff auf die Bedienungshilfen, die Berechtigung zum Zeichnen über anderen Apps sowie die Erlaubnis, im Hintergrund weiterzulaufen. Mit dem Zugriff auf die Bedienungshilfen erlangt der Betreiber die tatsächliche Kontrolle.
Anschließend übermittelt die Schadsoftware eine Liste aller installierten Apps, damit Banking-Ziele identifiziert werden können. Öffnet das Opfer die echte Banking-App, legt sich ein gefälschter Anmeldebildschirm darüber und zeichnet die Eingaben auf; ein zweites, für den Nutzer unsichtbares Overlay greift den Sperrbildschirm-Code ab. Laut Group-IB kann der Betreiber über die Bedienungshilfen Transaktionen direkt auf dem Gerät ausführen, während ein schwarzer Bildschirm das Geschehen verdeckt.
Die zweite App heißt Vwork. Ihre Architektur und Klassennamen entsprechen Group-IB zufolge Shelter, einem quelloffenen Werkzeug, das dieselbe Arbeitsprofil-Funktion nutzt, damit Nutzer Apps isolieren oder duplizieren können. Der Unterschied liegt in der Steuerung: Shelter wird vom Gerätebesitzer per Hand bedient, Vwork stellt dieselben Funktionen anderen Apps zur Verfügung — Arbeitsprofil einrichten, App hineinklonen, Inhalte auflisten, App darin öffnen. Die Prüfungen, die andere Apps bislang vom Aufruf dieser Funktionen abhielten, wurden laut Group-IB entfernt, sodass jede App auf dem Gerät Vwork steuern kann. Vor dem Klonen fragt Vwork bei einem externen Server um Erlaubnis; Gigabud bringt eigens dafür geschriebene Befehle mit. Während Shelter mehrere Bildschirme durchläuft, reduziert Vwork das auf eine einzige, auf Chinesisch verfasste Abfrage.
Auf den indonesischen Geräten erfolgten die Installationen in fester Reihenfolge: zuerst Gigabud, binnen Minuten Vwork, dann die manipulierte Banking-App. In dem ausführlich beschriebenen Fall war die in das Profil eingesetzte App kein Duplikat der App des Opfers: „Die Kopie war eine gefälschte Version der App einer echten indonesischen Bank", so Group-IB.
Analysiert wurde ein einzelnes Vwork-Sample, das die Forscher als noch in aktiver Entwicklung beschreiben; einige hinzugefügte Funktionen sind instabil und arbeiten auf Android-Builds nahe der quelloffenen Version nicht wie vorgesehen. Welche Geräte oder Android-Versionen betroffen sind, nennt der Bericht nicht. Auf Vwork ausgelegte Gigabud-Samples wurden mit Zielrichtung Brasilien, Kolumbien, Ägypten, Indonesien, Laos, Mexiko, Marokko, Philippinen, Thailand, Türkei und einem nicht genannten Golfstaat gefunden — Samples, keine bestätigten Infektionen.
Die Zuordnung beider Werkzeuge zu GoldFactory stützt Group-IB auf einen Code-Zweig von Vwork mit Verweisen auf Gigabud-Paketnamen, gemeinsame Netzwerkindikatoren und auf Chinesisch verfasste Entwicklerprotokolle; die Indikatoren könne man nicht veröffentlichen.
Das Arbeitsprofil taucht in den Geräteeinstellungen auf; Googles Anleitung beschreibt, wo es zu finden und wie es zu löschen ist — allerdings nur, wenn das Gerät dem Nutzer selbst gehört. Ob das Löschen das Risiko beendet, solange Gigabud im persönlichen Bereich installiert bleibt, sagt der Bericht nicht. Nutzern rät Group-IB, Apps nur aus offiziellen Stores zu installieren, den Zugriff auf Bedienungshilfen zu verweigern und einen zweiten Faktor ohne SMS zu nutzen. Banken empfiehlt die Firma, auf Verhaltensmerkmale zu achten: ein unerklärliches Arbeitsprofil auf einem Privatgerät, dieselbe Banking-App mit Installationsspuren in beiden Profilen, ein Profil ohne typische Apps sowie aktivierte Bedienungshilfen ohne erkennbaren Grund.
Vwork wurde bei früheren Group-IB-Recherchen zur GoldFactory-Kampagne mit manipulierten Banking-Apps in Südostasien entdeckt, veröffentlicht im Dezember 2025; außerhalb dieser Kampagne wurde das Werkzeug bislang nicht beobachtet. Container-Tricks gegen Banking-Apps sind nicht neu: Promon beschrieb 2023 FjordPhantom, das eine echte Banking-App in einem virtuellen Container ausführte und die Trennwand zwischen Apps durchbrach. Vwork geht den umgekehrten Weg und nutzt eine von Android bereitgestellte Wand, um den Trojaner außerhalb der Reichweite der Prüfungen zu platzieren.