GoldFactory clona app bancarie Android per eludere i controlli antifrode in Indonesia

Una campagna di frodi mobili che prende di mira l’Indonesia sfrutta i profili di lavoro di Android per eseguire applicazioni bancarie clonate in un ambiente isolato, indebolendo i controlli di sicurezza associati al profilo principale del telefono.

L’operazione è attribuita a GoldFactory, un gruppo di criminalità informatica di lingua cinese specializzato in attacchi mobili a fini finanziari. Una ricerca pubblicata il 9 settembre ha rilevato, tra febbraio e luglio, circa 1.469 dispositivi compromessi e 1.281 credenziali potenzialmente compromesse in Indonesia. Le perdite stimate si avvicinano a 1 milione di dollari.

La tecnica combina il trojan bancario Android Gigabud con Vwork, un’applicazione derivata dal progetto open source Shelter per la clonazione delle app. Insieme, consentono agli attaccanti di accedere da remoto al telefono della vittima e a un ambiente separato dal quale eseguire transazioni bancarie fraudolente.

Perdite stimate in Indonesia per quasi 1 milione di dollari

Le cifre rilevate dimostrano che la campagna è andata oltre la fase sperimentale. Centinaia di sessioni bancarie potenzialmente esposte sono state associate a infezioni confermate, con conseguenze finanziarie dirette per gli utenti indonesiani.

L’Indonesia rappresenta un obiettivo significativo per gli operatori delle frodi mobili, poiché nel Paese sono ampiamente utilizzati telefoni Android, applicazioni bancarie, pagamenti digitali e piattaforme di messaggistica. Anche i contenuti di social engineering possono essere localizzati facendo riferimento a servizi già noti alle vittime.

In passato GoldFactory ha adattato le proprie campagne di impersonificazione a Paesi e istituzioni specifici. I temi utilizzati hanno incluso compagnie aeree nazionali, autorità fiscali e siti web governativi, facendo apparire le applicazioni malevole pertinenti per le vittime a cui erano destinate.

In un caso indonesiano, gli investigatori hanno identificato una copia fraudolenta dell’applicazione di una legittima banca locale come app utilizzata nel processo di clonazione. Non sono stati resi noti il nome della banca, le versioni dell’applicazione interessate né le versioni di Android coinvolte.

Alla campagna non è associata alcuna vulnerabilità software identificata né alcuna patch. Gli attaccanti combinano invece permessi malevoli, controllo remoto e una legittima funzione di isolamento di Android. Per questo assumono particolare importanza il rilevamento basato sul comportamento e il controllo delle installazioni delle applicazioni.

Gigabud prende il controllo prima che Vwork crei la copia

Gigabud, un trojan bancario per Android attivo dal 2022, fornisce il punto d’accesso iniziale. I suoi operatori cercano di convincere la vittima a installare il malware e ad approvare potenti permessi di Android, in particolare l’accesso facilitato.

Una volta ottenuti questi permessi, Gigabud può acquisire informazioni sul telefono e supportare il controllo remoto in tempo reale. I privilegi di accesso facilitato possono consentire al malware di osservare i contenuti dell’interfaccia, interagire con le applicazioni e automatizzare operazioni che altrimenti richiederebbero l’intervento dell’utente.

Vwork viene quindi installato, spesso entro pochi minuti dall’infezione iniziale con Gigabud. Non dispone di un canale di comando e controllo indipendente. Gigabud funge da ponte per le comunicazioni: riceve le istruzioni dall’operatore e le inoltra a Vwork.

La sequenza d’attacco risultante si articola in sei fasi principali:

1. Gigabud viene installato sul dispositivo Android.
2. La vittima concede l’accesso facilitato e gli altri permessi richiesti.
3. Gigabud esamina il dispositivo e installa Vwork.
4. Vwork crea un profilo di lavoro Android.
5. Un’applicazione bancaria viene riprodotta all’interno del profilo.
6. L’attaccante controlla da remoto l’app clonata e avvia le transazioni.

Durante l’attività remota, il malware può mostrare alla vittima una schermata nera. L’utente potrebbe quindi non notare alcun segnale evidente del controllo del telefono o dell’attività dell’applicazione bancaria.

L’isolamento del profilo di lavoro crea un punto cieco per il rilevamento delle frodi

I profili di lavoro Android sono progettati per separare le applicazioni e i dati gestiti dall’azienda dall’ambiente personale dell’utente. In una configurazione legittima, il datore di lavoro o un sistema di gestione dei dispositivi utilizza questo confine per proteggere le risorse aziendali.

GoldFactory trasforma la stessa separazione in un meccanismo di elusione.

Un prodotto di sicurezza può rilevare Gigabud o un comportamento sospetto nel profilo personale e associare il rischio all’istanza dell’applicazione che opera in quell’ambiente. Quando Vwork crea un altro profilo, però, l’app bancaria clonata acquisisce un contesto distinto.

I controlli che associano il rischio esclusivamente all’istanza originale dell’app, al profilo personale o all’ambiente osservato in precedenza potrebbero non trasferire l’avviso al profilo di lavoro. Di conseguenza, per una banca l’attività della copia potrebbe sembrare provenire da un contesto di dispositivo nuovo o non correlato.

Questa disconnessione è importante perché la transazione fraudolenta ha comunque origine dal telefono fisico della vittima. L’attaccante può utilizzare l’ambiente bancario installato sul dispositivo, le credenziali o la sessione attiva della vittima, sfruttando al contempo la separazione tra i profili per indebolire il collegamento tra l’avviso del malware e il successivo tentativo di sottrarre il denaro.

Non si tratta di un bypass universale della sicurezza di Android o dei sistemi bancari. L’efficacia dipende dal modo in cui una banca, un’applicazione di sicurezza o una piattaforma antifrode associa i dati di telemetria tra profili e istanze delle app. Non sono stati resi pubblici dettagli tecnici sull’esposizione delle singole banche.

Campioni compatibili con Gigabud anche oltre l’Indonesia

L’Indonesia è uno dei primi obiettivi più rilevanti, ma il malware di supporto ha una diffusione decisamente più ampia. Gli investigatori hanno identificato campioni di Gigabud compatibili con la tecnica di Vwork in Brasile, Colombia, Egitto, Indonesia, Laos, Messico, Marocco, Filippine, Thailandia e Turchia.

Un campione compatibile è stato inoltre individuato in un membro non identificato del Consiglio di cooperazione del Golfo. Più in generale, l’attività di Gigabud è comparsa nel Sud-est asiatico, nell’Asia meridionale, in Medio Oriente, Africa e America Latina.

La presenza di malware compatibile non consente di stabilire quanti attacchi Vwork siano andati a buon fine in ciascun Paese. Né conferma che ogni infezione da Gigabud abbia utilizzato la clonazione tramite profilo di lavoro. Indica tuttavia che la tecnica potrebbe essere impiegata al di fuori dell’Indonesia senza dover creare una piattaforma malware completamente nuova.

Anche un’altra minaccia Android sta colpendo il mercato indonesiano. Il team zLabs di Zimperium ha pubblicato il 9 settembre i risultati delle proprie analisi su Mantax Otax, un trojan bancario aggressivo dotato di funzionalità spyware e collegato ad attori e vittime indonesiani.

Non è stata stabilita alcuna relazione operativa tra Mantax Otax e GoldFactory. Secondo le informazioni sulla campagna di clonazione delle app, le attività concomitanti dimostrano invece che gli utenti indonesiani devono affrontare diverse operazioni di malware finanziario per Android, gestite da operatori differenti e basate su strumenti diversi.

Un profilo di lavoro inatteso è il segnale d’allarme più evidente

Per chi possiede un telefono che non è mai stato configurato da un datore di lavoro, la comparsa inspiegabile di un profilo di lavoro è un motivo valido per avviare una verifica. Il profilo è particolarmente sospetto se compare poco dopo l’installazione di un’applicazione sconosciuta.

Tra gli altri segnali d’allarme figurano:

• La stessa applicazione bancaria compare sia nell’area personale sia in quella del profilo di lavoro.
• A un’app vengono assegnati privilegi di accesso facilitato senza che vi sia una motivazione credibile.
• Vengono installate applicazioni da fonti non ufficiali, ingannevoli o comunque non attendibili.
• Un’applicazione sconosciuta come Vwork compare poco dopo un’altra installazione.
• Compare una schermata nera o si verifica una perdita insolita del controllo mentre il telefono rimane attivo.
• L’accesso ai servizi bancari è associato a un profilo appena creato o a un contesto del dispositivo anomalo.

L’assenza di questi segnali visibili non dimostra che il dispositivo sia integro. Alcune attività possono svolgersi mentre la vittima è distratta e un’applicazione duplicata potrebbe non essere evidente senza esaminare il profilo del telefono e le impostazioni delle applicazioni.

Chiunque rilevi un profilo di lavoro inspiegabile o un’app bancaria duplicata dovrebbe interrompere l’utilizzo del dispositivo interessato per le transazioni finanziarie e contattare la banca attraverso un canale affidabile. Le credenziali e le sessioni potrebbero essere già state esposte. È inoltre opportuno verificare la presenza di permessi di accesso facilitato non autorizzati e di applicazioni installate di recente.

Le banche devono correlare i rischi tra i profili Android

Le banche e i provider di sicurezza mobile non possono presumere che a un unico telefono fisico corrisponda un solo ambiente applicativo. I sistemi di rilevamento dovrebbero collegare i segnali di rischio tra profili personali e di lavoro, installazioni duplicate delle app e contesti del dispositivo creati di recente.

Una sequenza in cui un’app sconosciuta ottiene l’accesso facilitato, pochi minuti dopo compare un’altra app e viene creato un profilo di lavoro dovrebbe essere esaminata con particolare attenzione. Lo stesso vale quando un’app bancaria inizia improvvisamente a operare da un profilo che non ha precedenti sul dispositivo.

I difensori dovrebbero inoltre cercare discrepanze tra l’ambiente abituale dell’utente e il contesto della transazione. Una nuova istanza dell’app non dovrebbe essere automaticamente considerata non correlata quando il dispositivo fisico o i dati di telemetria circostanti indicano un’infezione già presente.

Il metodo di GoldFactory riesce a separare eventi che i sistemi di sicurezza potrebbero valutare in modo indipendente: l’installazione del malware in un profilo e l’attività bancaria in un altro. Ricomporre questi eventi è fondamentale per individuare la frode prima che il denaro lasci il conto.