Trojan bancário Gigabud usa clonador de apps open-source Vwork para fraudar bancos em dez países
O grupo GoldFactory está distribuindo o trojan bancário Android Gigabud em conjunto com o Vwork, uma versão modificada do clonador de aplicativos open-source Shelter, para clonar apps bancários legítimos em um perfil isolado do sistema e executar transações fraudulentas sem levantar suspeita. A campanha já comprometeu mais de 1.400 dispositivos na Indonésia, com perdas próximas de US$ 961 mil entre fevereiro e julho de 2026, e também atinge Brasil, Colômbia, México e outros países.
O golpe começa como phishing tradicional: vítimas são atraídas por mensagens em redes sociais e apps de mensagem se passando por autoridades fiscais, serviços de aeroporto ou outros órgãos, que induzem a instalação de um aplicativo malicioso. Uma vez instalado, o Gigabud solicita permissões de acessibilidade — o mesmo vetor usado por praticamente todos os trojans bancários Android atuais — o que dá ao operador controle remoto do aparelho e permite mapear quais outros aplicativos, inclusive bancários, estão instalados.
O diferencial dessa campanha é o uso do Vwork, um add-on baseado no clonador de apps open-source Shelter, que cria um perfil de trabalho isolado dentro do próprio Android. Nesse perfil, o malware instala uma cópia clonada do aplicativo bancário genuíno da vítima. Como o Android trata perfis de trabalho como ambientes isolados e frequentemente menos monitorados por soluções antifraude e EDR mobile, transações feitas dentro do app clonado tendem a escapar de heurísticas que dependem do contexto normal do sistema operacional.
Antes da fraude propriamente dita, overlays falsos sobrepostos à tela capturam credenciais de login e PIN bancário, dados que são então usados dentro do ambiente clonado para autorizar transferências como se fosse o próprio dono do dispositivo operando o app real — um passo que dificulta a detecção por parte do banco, já que o dispositivo, IP e comportamento de app parecem legítimos.
A defesa mais eficaz combina camadas: para usuários, instalar apps apenas de lojas oficiais, negar permissão de acessibilidade a qualquer aplicativo que não a justifique claramente e preferir MFA que não dependa de SMS. Para bancos, o recomendável é vincular sessões a atributos de dispositivo confiável e sinalizar/bloquear transações originadas de contextos com acessibilidade ativa ou de perfis de usuário Android secundários, além de evoluir para detecção comportamental que não dependa apenas de assinatura de malware conhecida.