La copia dell’app bancaria sparisce nel work profile
GoldFactory ha portato Gigabud oltre il semplice trojan Android: Group-IB ha confermato in Indonesia l’uso in-the-wild di Android Work Profile per nascondere una copia dell’app bancaria ai controlli malware della banca. La campagna non sta aggirando Android in sé. Sta usando una funzione legittima di isolamento per far sparire l’app clonata dal punto in cui il controllo guarda.
Il trucco è separare la copia malevola nello spazio di lavoro dal profilo personale, come se la stessa banca fosse divisa in due cassetti sullo stesso telefono. Il check dell’app bancaria resta sul profilo principale e non vede ciò che sta nel work profile, così una sessione fraudolenta può procedere senza far scattare l’allarme sul dispositivo.
Per gli istituti che si affidano a device-risk o a controlli anti-malware su una sola vista del telefono, la falla non è nel modello Android ma nel confine che quel modello conserva. Questa campagna mostra che un pagamento fraudolento può nascere da un’app clonata e restare invisibile ai segnali pensati per intercettarlo.