Android-Malware: Diese App späht Bankdaten und PIN aus
Cyberkriminelle nehmen Smartphones zunehmend mit Methoden ins Visier, die weit über klassische Phishing-Seiten hinausgehen. Die von Sicherheitsforschenden näher untersuchte Android-Malware Gigabud kann nicht nur sensible Zugangsdaten abgreifen, sondern Kriminellen auch weitreichenden Zugriff auf das Handy selbst verschaffen. Besonders brisant ist ihre neue Angriffstechnik, echte Banking-Apps auf dem Gerät zu manipulieren, um Sicherheitskontrollen zu erschweren.
Android-Malware: Neue Angriffsmethode durch kombinierte Anwendungen
Entdeckt und analysiert wurde die neuartige Methode der Android-Malware von dem Cybersicherheitsunternehmen Group-IB. Der Banking-Trojaner Gigabud wird von den Expert*innen bereits seit 2022 beobachtet und verbreitet sich unter anderem über gefälschte Apps, die sich als Anwendungen von Fluggesellschaften, Steuerbehörden oder staatlichen Einrichtungen ausgeben. Installiert werden sie in den beobachteten Fällen wie so oft außerhalb offizieller App-Stores.
Inzwischen kombiniert die mutmaßlich dafür verantwortliche Gruppe GoldFactory ihren Gigabud-Trojaner mit der Anwendung Vwork, der modifizierten Version einer eigentlich legitimen Anwendung. Entsprechende Varianten wurden laut der Group-IB-Analyse unter anderem für Angriffe auf Nutzer*innen in Brasilien, Kolumbien, Ägypten, Indonesien, Laos, Mexiko, Marokko, den Philippinen, Thailand und der Türkei vorbereitet. Auch deutsche Nutzer*innen sind potenziell als Opfer denkbar.
Nach der Installation fordert Gigabud besonders weitreichende Rechte an. Dazu gehören der Zugriff auf die Android-Bedienungshilfen sowie die Möglichkeit, Inhalte über anderen Apps einzublenden. Hat ein Opfer diese Berechtigungen erteilt, kann die Schadsoftware zunächst ermitteln, welche Anwendungen auf dem Handy installiert sind. Beim Start einer echten Banking-App kann anschließend eine gefälschte Anmeldemaske über das Original gelegt werden. Eingetippte Zugangsdaten landen so bei den Angreifer*innen. Eine weitere unsichtbare Einblendung soll sogar den Code erfassen können, mit dem das Smartphone entsperrt wird.
Topaktuell
Vwork klont die Banking-App in einen versteckten Bereich
Für den nächsten Schritt nutzt die Android-Malware eine Besonderheit des Betriebssystems: sogenannte Arbeitsprofile. Diese Bereiche sind laut Google eigentlich dafür vorgesehen, berufliche und private Apps sowie deren Daten voneinander zu trennen. Genau diese Isolation versucht Gigabud mit Vwork auszunutzen, indem die genutzte Banking-App in das zusätzliche Profil kopiert wird.
Vwork basiert nach der technischen Untersuchung auf dem frei verfügbaren Open-Source-Projekt Shelter. Es ermöglicht Nutzer*innen, Apps bewusst in einem Arbeitsprofil zu isolieren oder eine zweite Instanz zu erstellen. Bei Vwork wurde diese Technik laut Group-IB jedoch so verändert, dass andere Programme die Klonfunktionen fernsteuern können. Die manipulierte Variante soll außerdem weniger auffällig sein und nach der Einrichtung kein normales App-Symbol im Launcher anzeigen.
Wer Vwork entdeckt, sollte reagieren
Wie groß die Kampagne insgesamt ist, lässt sich bislang nicht sicher bestimmen. Allein in Indonesien registrierte Group-IB zwischen Februar und Juli 2026 nach eigenen Angaben rund 1.469 kompromittierte Geräte sowie 1.281 möglicherweise betroffene Anmeldungen. Der beobachtete finanzielle Schaden wird auf etwa 960.939 US-Dollar geschätzt. Die Sicherheitsforschenden weisen ausdrücklich darauf hin, dass diese Werte lediglich den von ihnen erfassten Teil der Angriffe darstellen und nicht für das gesamte Ausmaß der Kampagne stehen.
Wer Vwork beziehungsweise das konkrete App-Paket net.yy.vwork auf seinem Smartphone entdeckt oder kurz zuvor eine unbekannte App außerhalb eines offiziellen Stores installiert hat, sollte auf dem Gerät vorerst keine Bankgeschäfte mehr durchführen. Insbesondere aus Browsern, Messengern oder Dateimanagern installierte Apps mit sensiblen Berechtigungen können für Finanzbetrug missbraucht werden.
Bei einem konkreten Infektionsverdacht reicht das bloße Löschen einer einzelnen App unter Umständen noch nicht aus: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt bei Banking-Trojanern, Zugangsdaten nach der Bereinigung zu ändern und die eigene Bank zu kontaktieren. Bei Zweifeln kann auch ein Zurücksetzen des Smartphones nötig sein. Das gilt besonders bei Verdacht auf eine derart weitreichende Android-Malware.
Quellen: Group-IB, Google, Github, Bundesamt für Sicherheit in der Informationstechnik