GoldFactory klont Android-Banking-Apps, um Betrugsschutz in Indonesien zu umgehen

Eine mobile Betrugskampagne gegen Indonesien missbraucht Android Work Profiles, um geklonte Banking-Apps in einer isolierten Umgebung auszuführen. Dadurch werden Sicherheitskontrollen geschwächt, die an das primäre Profil des Smartphones gebunden sind.

Die Operation wird GoldFactory zugeschrieben, einer chinesischsprachigen Cybercrime-Gruppe, die auf finanziell motivierte mobile Angriffe spezialisiert ist. Eine am 9. September veröffentlichte Untersuchung verzeichnete zwischen Februar und Juli in Indonesien rund 1.469 kompromittierte Geräte und 1.281 potenziell kompromittierte Log-ins. Die geschätzten Verluste beliefen sich auf knapp 1 Million US-Dollar.

Die Technik kombiniert den Android-Banking-Trojaner Gigabud mit Vwork, einer aus dem Open-Source-Projekt Shelter zum Klonen von Apps hervorgegangenen Anwendung. Zusammen ermöglichen sie den Angreifern den Fernzugriff auf das Smartphone eines Opfers sowie eine separate Umgebung, in der sie betrügerische Banktransaktionen ausführen können.

Geschätzte Verluste in Indonesien von fast 1 Million US-Dollar

Die erfassten Zahlen zeigen, dass die Kampagne über das Experimentierstadium hinaus ist. Hunderte potenziell offengelegte Banking-Sitzungen standen mit bestätigten Infektionen in Verbindung und hatten direkte finanzielle Folgen für indonesische Nutzer.

Indonesien bietet Betreibern von Mobile-Fraud-Kampagnen eine große Zielgruppe, da Android-Smartphones, Banking-Apps, digitale Bezahldienste und Messaging-Plattformen weit verbreitet sind. Auch Social-Engineering-Inhalte lassen sich auf Dienste zuschneiden, die den Opfern bereits vertraut sind.

GoldFactory hat seine Täuschungskampagnen bereits zuvor auf bestimmte Länder und Institutionen zugeschnitten. Zu den verwendeten Themen gehörten nationale Fluggesellschaften, Steuerbehörden und Regierungswebsites. Dadurch wirken die schädlichen Apps für ihre jeweiligen Opfer glaubwürdiger.

In einem Fall aus Indonesien identifizierten Ermittler eine betrügerische Kopie der App einer legitimen lokalen Bank als die Anwendung, die im Klonvorgang eingesetzt wurde. Der Name der Bank, die betroffenen App-Versionen und die relevanten Android-Versionen wurden nicht offengelegt.

Es gibt keine identifizierte Software-Schwachstelle und keinen mit der Kampagne verbundenen Patch. Stattdessen kombinieren die Angreifer schädliche Berechtigungen, Fernsteuerung und eine legitime Android-Isolierungsfunktion. Dadurch werden die Erkennung von Verhaltensmustern und die Kontrolle von App-Installationen besonders wichtig.

Gigabud übernimmt zunächst die Kontrolle, bevor Vwork den Klon erstellt

Gigabud, ein seit 2022 aktiver Android-Banking-Trojaner, verschafft den Angreifern den ersten Zugriff. Die Betreiber versuchen, das Opfer dazu zu bringen, die Malware zu installieren und weitreichende Android-Berechtigungen zu erteilen – insbesondere den Bedienungshilfen-Zugriff.

Sobald diese Berechtigungen verfügbar sind, kann Gigabud das Smartphone inventarisieren und eine Live-Fernsteuerung ermöglichen. Bedienungshilfen-Berechtigungen können der Malware erlauben, Inhalte der Benutzeroberfläche zu beobachten, mit Apps zu interagieren und Aktionen zu automatisieren, die sonst die Mitwirkung des Nutzers erfordern würden.

Anschließend wird Vwork installiert, häufig innerhalb weniger Minuten nach der ersten Gigabud-Infektion. Vwork verfügt nicht über einen eigenen Command-and-Control-Kanal. Gigabud fungiert als Kommunikationsbrücke: Die Malware empfängt Anweisungen vom Betreiber und leitet sie an Vwork weiter.

Der daraus entstehende Angriffsablauf umfasst sechs zentrale Phasen:

1. Gigabud wird auf dem Android-Gerät installiert.
2. Das Opfer gewährt Bedienungshilfen-Zugriff und weitere angeforderte Berechtigungen.
3. Gigabud untersucht das Gerät und installiert Vwork.
4. Vwork erstellt ein Android Work Profile.
5. Eine Banking-App wird innerhalb dieses Profils reproduziert.
6. Der Angreifer steuert die geklonte App aus der Ferne und veranlasst Transaktionen.

Während der Fernsteuerung kann die Malware dem Opfer einen schwarzen Bildschirm anzeigen. Der Nutzer sieht dann möglicherweise keinen offensichtlichen Hinweis darauf, dass das Smartphone kontrolliert wird oder die Banking-App aktiv ist.

Die Isolierung durch Work Profiles schafft eine Erkennungslücke

Android Work Profiles dienen dazu, von Unternehmen verwaltete Apps und Daten von der persönlichen Umgebung des Nutzers zu trennen. Bei einer legitimen Bereitstellung nutzt ein Arbeitgeber oder ein Geräteverwaltungssystem diese Grenze, um Unternehmensressourcen zu schützen.

GoldFactory macht aus derselben Trennung einen Mechanismus zur Umgehung von Sicherheitsmaßnahmen.

Ein Sicherheitsprodukt erkennt möglicherweise Gigabud oder verdächtiges Verhalten im persönlichen Profil und weist der dort ausgeführten App-Instanz ein Risiko zu. Wenn Vwork jedoch ein weiteres Profil erstellt, erhält die geklonte Banking-App einen eigenen Kontext.

Kontrollen, die das Risiko ausschließlich mit der ursprünglichen App-Instanz, dem persönlichen Profil oder der zuvor beobachteten Umgebung verknüpfen, übertragen die Warnung möglicherweise nicht auf das Work Profile. Für eine Bank kann die Aktivität des Klons dadurch wie der Zugriff von einem neuen oder nicht zugehörigen Geräteumfeld wirken.

Diese Trennung ist relevant, weil die betrügerische Transaktion weiterhin vom physischen Smartphone des Opfers ausgeht. Der Angreifer kann die installierte Banking-Umgebung, Zugangsdaten oder eine aktive Sitzung des Opfers nutzen und zugleich die Profiltrennung ausnutzen, um die Verbindung zwischen der Malware-Warnung und dem späteren Versuch der Auszahlung zu schwächen.

Dies ist keine universelle Umgehung der Android- oder Banksicherheit. Die Wirksamkeit hängt davon ab, wie eine Bank, eine Sicherheitsanwendung oder eine Fraud-Plattform Telemetriedaten über Profile und App-Instanzen hinweg zusammenführt. Technische Details zur Gefährdung einzelner Banken wurden nicht veröffentlicht.

Mit Gigabud kompatible Samples reichen über Indonesien hinaus

Indonesien ist ein wichtiges frühes Ziel, doch die unterstützende Malware weist eine deutlich größere geografische Verbreitung auf. Ermittler identifizierten mit der Vwork-Technik kompatible Gigabud-Samples in Brasilien, Kolumbien, Ägypten, Indonesien, Laos, Mexiko, Marokko, auf den Philippinen, in Thailand und der Türkei.

Ein kompatibles Sample wurde außerdem bei einem nicht genannten Mitglied des Golf-Kooperationsrats gefunden. Insgesamt war Gigabud-Aktivität in Südostasien, Südasien, dem Nahen Osten, Afrika und Lateinamerika zu beobachten.

Das Vorhandensein kompatibler Malware sagt nichts über die Zahl erfolgreicher Vwork-Angriffe in den einzelnen Ländern aus. Ebenso wenig bestätigt es, dass bei jeder Gigabud-Infektion das Klonen über ein Work Profile zum Einsatz kam. Es zeigt jedoch, dass sich die Technik auch außerhalb Indonesiens einsetzen ließe, ohne eine vollständig neue Malware-Plattform entwickeln zu müssen.

Eine weitere Android-Bedrohung betrifft ebenfalls den indonesischen Markt. Das zLabs-Team von Zimperium veröffentlichte am 9. September Erkenntnisse zu Mantax Otax, einem aggressiven Banking-Trojaner mit Spyware-Funktionen, der mit indonesischen Akteuren und Opfern in Verbindung gebracht wird.

Eine operative Verbindung zwischen Mantax Otax und GoldFactory wurde nicht festgestellt. Die zeitgleich beobachtete Aktivität zeigt vielmehr, dass indonesische Nutzer mit mehreren Android-Operationen gegen Finanz-Malware konfrontiert sind, die von unterschiedlichen Betreibern mit unterschiedlichen Toolsets durchgeführt werden, wie aus der Berichterstattung über die Kampagne zum Klonen von Apps hervorgeht.

Ein unerwartetes Work Profile ist das deutlichste Warnsignal

Für Nutzer, deren Smartphone nie von einem Arbeitgeber konfiguriert wurde, ist das unerklärliche Auftauchen eines Work Profiles ein starker Grund, den Vorfall zu untersuchen. Besonders verdächtig ist das Profil, wenn es kurz nach der Installation einer unbekannten App erscheint.

Weitere Warnzeichen sind:

• Dieselbe Banking-App erscheint sowohl im persönlichen Bereich als auch im Work Profile.
• Einer App wurden Bedienungshilfen-Berechtigungen erteilt, obwohl sie dafür keinen plausiblen Grund hat.
• Apps wurden aus inoffiziellen, täuschenden oder anderweitig nicht vertrauenswürdigen Quellen installiert.
• Eine unbekannte App wie Vwork erscheint kurz nach einer anderen Installation.
• Ein schwarzer Bildschirm oder ein ungewöhnlicher Kontrollverlust tritt auf, während das Smartphone aktiv bleibt.
• Der Zugriff auf das Banking-Konto ist mit einem neu erstellten Profil oder einem ungewöhnlichen Geräteumfeld verbunden.

Das Fehlen dieser sichtbaren Anzeichen beweist nicht, dass ein Gerät sauber ist. Manche Aktivitäten können stattfinden, während das Opfer abgelenkt ist, und eine doppelte App muss nicht ohne Weiteres auffallen, wenn die Profil- und App-Einstellungen des Smartphones nicht überprüft werden.

Wer ein unerklärliches Work Profile oder eine doppelte Banking-App entdeckt, sollte das betroffene Gerät nicht mehr für Finanztransaktionen verwenden und die Bank über einen vertrauenswürdigen Kanal kontaktieren. Zugangsdaten und Sitzungen könnten bereits offengelegt worden sein. Außerdem sollte das Gerät auf unbefugte Bedienungshilfen-Berechtigungen und kürzlich installierte Apps untersucht werden.

Banken müssen Risiken über Android-Profile hinweg zusammenführen

Banken und Anbieter von Mobile Security dürfen nicht davon ausgehen, dass ein physisches Smartphone genau einer App-Umgebung entspricht. Erkennungssysteme sollten Risikosignale über persönliche Profile und Work Profiles, doppelte App-Installationen und neu erstellte Geräteumgebungen hinweg miteinander verknüpfen.

Eine Abfolge, bei der eine unbekannte App Bedienungshilfen-Zugriff erhält, wenige Minuten später eine weitere App erscheint und ein Work Profile erstellt wird, sollte genau untersucht werden. Dasselbe gilt, wenn eine Banking-App plötzlich aus einem Profil heraus aktiv ist, für das auf dem Gerät keine Historie vorliegt.

Verteidiger sollten außerdem auf Abweichungen zwischen der üblichen Umgebung des Nutzers und dem Kontext einer Transaktion achten. Eine neu beobachtete App-Instanz sollte nicht automatisch als unabhängig behandelt werden, wenn das physische Gerät oder die umgebende Telemetrie auf eine bestehende Infektion hindeutet.

Die Methode von GoldFactory ist erfolgreich, weil sie Ereignisse voneinander trennt, die Sicherheitssysteme möglicherweise unabhängig bewerten: die Malware-Installation in einem Profil und die Banking-Aktivität in einem anderen. Diese Ereignisse wieder miteinander zu verknüpfen, ist entscheidend, um den Betrug zu erkennen, bevor Geld das Konto verlässt.