Der entscheidende neue Baustein ist eine Anwendung namens Vwork – ein Ableger der quelloffenen Android-Klon-App Shelter. Group-IB beobachtete Fälle, in denen Vwork binnen weniger Minuten nach der ersten Gigabud-Infektion nachinstalliert wurde.
Der Ablauf ist den Forschern zufolge standardisiert: Gigabud verschafft sich zunächst Bedienungshilfen-Rechte, erfasst das Gerät, installiert Vwork und nutzt diese zweite App, um ein Arbeitsprofil anzulegen und eine bereits vorhandene Banking-App in diesen abgeschotteten Bereich zu klonen. Anschließend führt der Operator die Transaktionen direkt auf dem Telefon des Opfers aus, während ein schwarzer Bildschirm das Geschehen verdeckt. Die geklonte Umgebung dient dazu, Betrugsschutzmechanismen zu umgehen.
Vwork selbst besitzt keine eigene Command-and-Control-Funktion, sondern erhält seine Befehle über Gigabud als Vermittler. Group-IB weist darauf hin, dass viele Betrugs- und Malware-Erkennungssysteme ihre Risikosignale an eine konkrete App-Instanz oder ein bestimmtes Profil knüpfen. Erkennt eine Sicherheitslösung Schadsoftware im persönlichen Profil, überträgt sich dieser Befund nicht zwangsläufig auf das neu angelegte Arbeitsprofil.
„Aus Sicht der Bank stammt die Transaktion von einem neuen Gerät und wirkt möglicherweise unabhängig von der zuvor erkannten Malware-Aktivität“, heißt es im Blogbeitrag von Group-IB. Der Alarm sei im persönlichen Profil bereits ausgelöst worden, werde im neuen Arbeitsprofil aber mangels Infektionssignalen nicht erneut auslösen. Über diese Profiltrennung könnten die Täter die Verbindung zwischen Erkennungssignal und betrügerischer Transaktion kappen und so bestehende Sicherheitskontrollen umgehen und Geld abziehen.
Vwork-kompatible Gigabud-Varianten fand Group-IB für eine Reihe von Ländern: Brasilien, Kolumbien, Ägypten, Indonesien, Laos, Mexiko, Marokko, Philippinen, Thailand, die Türkei sowie einen nicht näher benannten Mitgliedsstaat des Golf-Kooperationsrats. Die Köder variieren regional – die Angreifer gaben sich unter anderem als nationale Fluggesellschaften, Steuerbehörden und Behördenportale aus. Nach Installation und Vergabe der nötigen Berechtigungen erhalten die Betreiber eine Live-Fernsteuerung des Geräts.
Zeitgleich veröffentlichte das Forschungsteam zLabs von Zimperium am 9. September einen Beitrag zu „Mantax Otax“, einem aggressiven Android-Bankentrojaner, der mit indonesischen Akteuren in Verbindung gebracht wird und sich gegen indonesische Opfer richtet. Nico Chiaraviglio, Chief Scientist bei Zimperium, erklärt gegenüber Dark Reading, Indonesien sei für solche Kampagnen attraktiv, weil dort eine große, stark mobil geprägte Bevölkerung mit weit verbreitetem Mobile Banking, digitalen Zahlungen, Messaging-Plattformen und Android-Geräten zusammenkomme. Das Land stehe damit aber nicht allein: „Mobile Banking-Malware ist eine globale Bedrohung, und Angreifer konzentrieren ihre Aktivitäten dort, wo mobile Finanzdienste weit verbreitet sind und sich ihre Social-Engineering-Kampagnen wirksam lokalisieren lassen.“
Als frühestes verlässliches Warnzeichen nennt Group-IB ein Endkundengerät, das ohne Zutun des Nutzers und ohne jede Einrichtung durch eine Unternehmens-IT plötzlich ein isoliertes Arbeitsprofil anlegt. Weitere Indizien: identische Banking-Apps in mehreren Profilen, Bedienungshilfen-Rechte für Anwendungen, die diese nicht benötigen, sowie unerwartete Installationen aus nicht legitimen Quellen kurz nach einer vorangegangenen App-Installation.