#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Андроид-банковский троян Gigabud от GoldFactory использует распространяемые через фишинг поддельные приложения для получения разрешений на доступность (Accessibility) и наложение (overlay), кражу учетных данных и PIN-кодов, а также для управления устройствами в целях совершения мошеннических транзакций. Он устанавливает Vwork — модифицированную ветку Shelter — для клонирования банковских приложений в скрытый рабочий профиль Android. Такое разделение профилей помогает обходить средства обнаружения угроз и скрывать связь между активностью вредоносного ПО и транзакциями.
-----

Gigabud — это банковский троян для удалённого доступа для Android, приписываемый группе GoldFactory. Он распространяется через фишинговые сайты, мессенджеры и социальные сети с использованием поддельных приложений авиакомпаний, налоговых органов или государственных ведомств, распространяемых вне официальных магазинов приложений. После установки он запрашивает доступ к функции «Доступность», разрешения на наложение элементов интерфейса и исключения из оптимизации батареи. Эти разрешения позволяют операторам удалённо управлять устройством, отображать мошеннические экраны входа поверх легитимных банковских приложений, перехватывать учетные данные и PIN-коды экрана блокировки, инвентаризировать установленные приложения и проводить транзакции, скрывая активность за чёрным экраном.

Vwork представляет собой модифицированную ветку (форк) открытого исходного кода Android-приложения Shelter. Оба приложения используют функциональность рабочего профиля Android для создания изолированной среды для приложений, однако Vwork удаляет стандартные пользовательские средства управления Shelter и предоставляет функции клонирования и управления приложениями через экспортированные компоненты и API. Приложение позволяет создавать рабочий профиль, клонировать приложения, получать список клонированных приложений и запускать их. Vwork скрыт от лаунчера, использует упрощённый интерфейс настройки на китайском языке, разрешает установку сторонних приложений (sideloading) и ограничивает функции «Доступности» (Accessibility) в созданном профиле. Функции клонирования требуют авторизации, полученной через внешний сервер.

Gigabud и Vwork функционируют как скоординированная цепочка заражения. Gigabud устанавливает Vwork и направляет его на клонирование целевых банковских приложений в рабочий профиль. Соответствующие образцы Gigabud ссылаются на пакет Vwork, `net.yy.vwork`, и содержат специализированные команды, включая `initVwa`, `cloneApp` и `uploadCloneApps`. Имена пакетов, связанные с клонированными приложениями, имеют префикс `vwa-`. Кроме того, Gigabud получает токены авторизации с внешнего сервера для обеспечения работы Vwork.

Разделение профилей предназначено для обхода средств защиты. ВПО, обнаруженные в личном профиле, могут не вызывать срабатываний сигнатурных детекторов в недавно созданном рабочем профиле. Таким образом, мошеннические транзакции, совершаемые через клонированное банковское приложение, могут выглядеть как исходящие с отдельного устройства, что разрывает связь между первоначальным предупреждением о ВПО и последующей финансовой активностью. Образцы Gigabud, совместимые с данной техникой, нацеливались на страны Юго-Восточной Азии, Южной Азии, Ближнего Востока, Африки и Латинской Америки. Специалисты по защите должны отслеживать неожиданные рабочие профили, дублирование банковских приложений между профилями, необъяснимые разрешения на доступность (Accessibility) или управление устройством, приложения, установленные из сторонних источников (sideloaded), а также быструю установку Vwork после другого подозрительного приложения.