Androidの「仕事用プロファイル」を悪用して検知を逃れる不正送金マルウェア「Gigabud」の手口が判明

要点

• セキュリティ企業Group-IBが、Android向けバンキング型トロイの木馬「Gigabud」の新たな手口に関する調査レポートを公開した。
• Androidの「仕事用プロファイル」機能を作成する補助アプリを用い、隔離空間内に偽の銀行アプリを配置してマルウェア検知を回避する。
• 補助アプリ「Vwork」は、オープンソースのアプリ隔離ツール「Shelter」を不正改造し、外部アプリから自動制御できるようにしたものである。
• インドネシア国内で一連の感染チェーンが確認されており、推定約96万ドルの被害が観測されている。

リード文

サイバーセキュリティ企業のGroup-IBは2026年9月9日、Android端末を標的とするバンキング型トロイの木馬「Gigabud」が、OSの「仕事用プロファイル」機能を悪用してセキュリティ検知をすり抜ける手口を確認したと発表した。攻撃者は追加のアプリを使って端末内に隔離空間を作成し、その中に改ざんした銀行アプリを配置することで、銀行アプリ側のマルウェアスキャンから自身を隠蔽しているという。この一連の攻撃チェーンは、インドネシア国内の感染端末において実際に確認されたと報告されている。

仕事用プロファイルの悪用とスキャン回避の仕組み

仕事用プロファイル（Work Profile）とは、Android端末において企業の業務用アプリと私用データを分離・管理するためにOS標準で提供されている隔離機能である。通常、銀行アプリの多くには、端末内に潜む既知のマルウェアを自動検知するためのセキュリティコードが組み込まれている。

しかし、仕事用プロファイルという隔離された領域の中から実行された場合、銀行アプリによるセキュリティスキャンは、プロファイル間のデータ分離構造によって個人用スペースにまでは到達しない。Gigabudはこの仕様を悪用し、マルウェア本体が個人用スペースに留まったまま、仕事用プロファイル内に偽の銀行アプリを配置することで、スキャンに検知されることなく不正送金を正常な処理に見せかけるという。

なお、Androidの公式プラットフォームドキュメントによると、メインプロファイル（個人用領域）に存在するアプリであれば仕事用プロファイルのセットアップ処理を開始することが可能であり、プロファイル作成前にはユーザーに対してその役割を説明する画面が表示される仕様となっている。

遠隔操作マルウェア「Gigabud」の侵入と手口

「Gigabud」は2022年から活動が確認されているリモートアクセス型トロイの木馬（RAT：端末を遠隔から操作可能にするマルウェア）であり、Group-IBは「GoldFactory」と呼ばれる脅威グループとの関連を指摘している。

本マルウェアは、国営航空会社や税務署、政府機関の公式ポータルなどを偽装した不正アプリとして、公式ストア外の外部サイトから端末に侵入する。初回起動時には、アクセシビリティ（ユーザー補助機能）へのアクセス権限、他のアプリの上に画面を重ねて表示するオーバーレイ権限、およびバッテリー最適化を回避してバックグラウンドで動作し続ける権限の付与を要求する。ユーザーがアクセシビリティ権限を許可した時点で、攻撃者は端末の完全な制御権を獲得する。

制御権を得たGigabudは、端末内のインストール済みアプリ一覧を外部サーバーへ送信して標的の銀行アプリを特定する。被害者が本物の銀行アプリを開くと、偽のログイン画面を重ねて表示してキー入力を盗み取るほか、ユーザーには視認できない別のオーバーレイを用いて画面ロックの解除コードも取得する。

さらに送金処理の実行時には、画面全体を黒い表示で覆い隠して操作内容を被害者から見えないようにした上で、アクセシビリティ機能を通じてバックグラウンドで画面のタップや文字入力を自動実行し、不正送金を完了させるという。

オープンソースを改造した連携ツール「Vwork」

今回の攻撃において、仕事用プロファイルの作成と管理を担う2つ目のアプリが「Vwork」である。Group-IBの分析によると、Vworkの内部アーキテクチャおよびクラス名は、オープンソースのプロファイル管理ツール「Shelter」と一致していることが判明した。Shelterは本来、端末の所有者が手動操作によってアプリの隔離や複製を行うためのユーティリティである。

Shelterがユーザー自身の手動操作を前提としているのに対し、Vworkは他のアプリからプロファイル作成、アプリの複製、一覧取得、および起動といった処理を自動実行できるように制限機能が削除されている。また、Vworkはアプリの複製を行う前に外部サーバーへ問い合わせて実行許可を要求する仕組みを備えており、Gigabud側にもVworkを制御するための専用コマンドが組み込まれている。

加えて、正規のShelterではプロファイル作成時に複数画面にわたる案内が表示されるのに対し、Vworkでは案内が中国語で書かれた1つのプロンプトのみに簡略化されていると報告されている。

被害の実態と標的地域の広がり

Group-IBがインドネシアで詳細に解析した実際の被害事例では、まず端末にGigabudが侵入し、その数分後にVworkが導入され、最終的に改ざんされた銀行アプリが仕事用プロファイル内に配置されるという順序で攻撃が進められていた。この事例においてプロファイル内に配置されたのは、被害者の端末に存在していた正規アプリの複製ではなく、インドネシアの実在する銀行アプリを模して作られた偽のバージョンであったという。

解析されたVworkのサンプルは現時点で1件のみであり、同社は本ツールが依然として活発な開発段階にあると評価している。追加された機能の一部は動作が不安定であり、オープンソース版に近いAndroidビルドでは意図した挙動を示さない場合があるという。なお、レポート内では具体的にどの機種やAndroidバージョンで本手法が完全に機能するかについては言及されていない。

一方で、Vworkと連携するように設計されたGigabudの検体は、ブラジル、コロンビア、エジプト、インドネシア、ラオス、メキシコ、モロッコ、フィリピン、タイ、トルコ、および湾岸協力会議（GCC）加盟国のうち1カ国の計11地域を標的としたものが確認されている。ただし、これらは検体として発見されたものであり、実際に一連の感染チェーンが確認されたのはインドネシアのみとされている。

Group-IB自身の観測データによると、インドネシアでは2026年2月から7月までの間に約1,469台の端末が侵害され、約1,281件のログイン情報が不正に取得された可能性があるという。これによる推定被害額は約96万ドルに上ると報告されている。