Gigabud crea perfiles de trabajo en Android para eludir los controles de malware de las aplicaciones bancarias

El troyano bancario Gigabud emplea una aplicación secundaria para configurar un perfil de trabajo en los dispositivos móviles afectados, dentro del cual instala una versión manipulada de una aplicación financiera. Este entorno, habitualmente destinado a herramientas laborales y separado del espacio personal del usuario, permite que el troyano evada los mecanismos de detección de código malicioso integrados en las aplicaciones bancarias. De este modo, los pagos fraudulentos pueden pasar desapercibidos frente a las alertas generadas previamente en el teléfono.

Esta amenaza funciona como un troyano de acceso remoto que otorga el control del dispositivo a los operadores, requiriendo permisos de accesibilidad, ejecución en segundo plano y superposición de pantalla al ser lanzado por primera vez. Para llevar a cabo sus ataques, la aplicación secundaria utiliza código basado en una herramienta de código abierto para aislar o duplicar aplicaciones, modificando su funcionamiento para que pueda ser controlada por cualquier otro software del dispositivo. Con el fin de ocultar su presencia, el icono de esta herramienta no aparece en el lanzador de aplicaciones del teléfono, aunque sigue siendo visible mediante un administrador de archivos.

Las muestras de Gigabud adaptadas para utilizar esta técnica han sido detectadas en múltiples naciones y regiones, aunque su cadena de infección completa solo ha podido confirmarse en un territorio específico, donde se registraron incidentes y pérdidas económicas durante los meses observados. Para mitigar estos riesgos, las recomendaciones de seguridad sugieren descargar aplicaciones exclusivamente de tiendas oficiales, denegar permisos de accesibilidad a programas no autorizados y emplear métodos de doble factor que no dependan de mensajes de texto.