Trojan bancário Gigabud usa falsos apps de empréstimo para roubar dados financeiros em cinco países
A Group-IB descreveu o Gigabud, trojan bancário Android ativo desde 2022 com duas variantes: uma versão RAT que abusa do serviço de acessibilidade para gravar tela e simular apps de bancos, e uma versão "Loan" que se disfarça de aplicativo de empréstimo fácil para coletar documentos e dados bancários. O malware já mirou mais de 99 instituições financeiras e órgãos governamentais em Tailândia, Indonésia, Vietnã, Filipinas e Peru.
O Gigabud foi identificado pela Group-IB em setembro de 2022, mas evidências apontam atividade desde julho daquele ano, distribuído em duas variantes com objetivos complementares. O Gigabud.RAT se disfarça de aplicativos legítimos de bancos e órgãos governamentais; o Gigabud.Loan explora a demanda por crédito rápido, anunciando empréstimos com taxas artificialmente baixas para atrair vítimas com necessidade financeira imediata — um gatilho emocional clássico de engenharia social.
Tecnicamente, o RAT só age depois de obter autorização explícita do usuário (concedendo permissões durante a instalação), o que o ajuda a escapar de heurísticas automáticas de detecção baseadas em comportamento imediato. Uma vez ativo, ele abusa do serviço de acessibilidade do Android para capturar a tela, registrar toques de teclado e executar gestos automaticamente — o suficiente para operar o app bancário da vítima sem que ela perceba. A variante Loan, por sua vez, foca em engenharia social pura: convence a vítima a preencher formulários "de solicitação de cartão" ou empréstimo, coletando nome completo, documentos de identidade e dados bancários diretamente, sem nem precisar de exploração técnica sofisticada.
A distribuição combina phishing por SMS, mensageiros instantâneos e redes sociais com abuso da permissão REQUEST_INSTALL_PACKAGES, que permite ao malware instalar outros aplicativos no aparelho da vítima sem passar pela Play Store — uma cadeia de instalação silenciosa depois do primeiro clique. Os alvos documentados incluem mais de 99 instituições financeiras e ao menos 25 empresas e órgãos governamentais em cinco países do Sudeste Asiático e no Peru, mostrando que o grupo por trás do Gigabud atua com foco regional deliberado, não oportunista.
A defesa prática segue o padrão de trojans bancários Android: nunca instalar apps fora da Play Store, desconfiar de qualquer oferta de empréstimo com taxas fora do padrão de mercado (sinal clássico de golpe de crédito), e negar permissão de acessibilidade a qualquer aplicativo que não seja uma ferramenta de acessibilidade real. Bancos e fintechs na região devem priorizar soluções de proteção contra fraude com detecção de automação via acessibilidade e monitoramento de instalação silenciosa de pacotes, já que essa é a porta de entrada recorrente do Gigabud.