Los hackers clonan aplicaciones bancarias en perfiles de trabajo ocultos de Android para evadir la detección de fraudes

Los atacantes están utilizando malware que copia aplicaciones bancarias específicas en un perfil de trabajo oculto de Android, separando una sesión fraudulenta de las señales de advertencia que se ven en el teléfono. La operación comienza con Gigabud, un troyano de acceso remoto para Android activo desde 2022.

Las víctimas son atraídas a través de sitios de phishing, aplicaciones de mensajería o publicaciones en redes sociales a aplicaciones falsas de aerolíneas, impuestos o gobierno, mientras que las descargas falsas de aplicaciones bancarias pueden convertir una marca en una trampa. Los analistas del Grupo IB identificaron Vwork, una versión modificada del clonador de aplicaciones Shelter de código abierto, que aparece minutos después de las infecciones de Gigabud junto con aplicaciones bancarias manipuladas. Hackers clonan aplicaciones bancarias en perfiles de trabajo ocultos de Android Gigabud primero solicita acceso de accesibilidad, permiso para dibujar sobre otras aplicaciones y exención de ahorro de batería. Si una víctima está de acuerdo, los operadores pueden controlar de forma remota el dispositivo, enumerar las aplicaciones instaladas, colocar pantallas de inicio de sesión falsas sobre aplicaciones bancarias reales y capturar el código de la pantalla de bloqueo del dispositivo.

Diagrama de flujo del esquema de fraude de Gigabud y Vwork (Fuente – Group-IB) Android mantiene aisladas las aplicaciones en perfiles separados. Los equipos de seguridad deben tratar la creación inesperada de perfiles de trabajo, la duplicación de aplicaciones entre perfiles y el abuso de accesibilidad como señales de advertencia vinculadas.

Consultar publicación original ↗