Android tabanlı Gigabud truva atı, bankacılık uygulamalarının zararlı yazılım kontrollerinden kaçmak için iş profili özelliğini kullanıyor. Group-IB’nin son analizine göre saldırı zinciri Endonezya’daki enfekte cihazlarda doğrulandı; aynı yöntemle telefonda daha önce görünmüş uyarılardan bağımsızmış gibi görünen sahte işlemler yapılabiliyor.
İncelemeyi yapan araştırmacılar, iş profilinin Android’de normalde iş uygulamaları için ayrılmış ayrı bir alan olduğunu, bu alanın kişisel profilden yalıtıldığı için trojan’ın bankacılık uygulamasının kendi taramasına görünmez hale geldiğini belirtiyor. Banka uygulamaları genellikle telefondaki bilinen kötü amaçlı yazılımları arayan güvenlik kodları içeriyor; ancak tarama iş profilinin içinden yapıldığında kişisel alandaki Gigabud bileşenine ulaşamıyor. Group-IB, bu tam zinciri enfekte cihazlarda doğruladığını açıkladı.
Gigabud’un kurduğu zincir: sahte giriş ekranı, gizli PIN hırsızlığı ve uzaktan kontrol
Gigabud, operatörüne telefon üzerinde canlı kontrol sağlayan bir uzaktan erişim truva atı olarak tanımlanıyor. İlk kez 2022’de görülen zararlı yazılımın GoldFactory adlı bir grupla bağlantılı olduğu değerlendiriliyor. Grup, telefonu resmi mağaza dışından yüklenen sahte uygulamalarla ele geçiriyor; bu uygulamalar kendini ulusal havayolu, vergi dairesi ya da devlet portalı gibi gösteriyor.
İlk çalıştırmada Gigabud, önce Erişilebilirlik izni istiyor. Ardından diğer uygulamaların üzerine çizim yapma izni ve arka planda çalışmayı sürdürebilmek için pil optimizasyonundan muafiyet talep ediyor. Araştırmacıların aktardığına göre Erişilebilirlik izninin verilmesi, operatörün cihaz üzerinde gerçek kontrol elde ettiği eşik oluyor.
Truva atı daha sonra telefondaki tüm uygulamaların listesini operatöre iletiyor. Böylece hangi cihazlarda bankacılık hedefi bulunduğu anlaşılıyor. Kurban gerçek bankacılık uygulamasını açtığında ekrana bindirilen sahte giriş katmanı tuş vuruşlarını topluyor. Kullanıcıya görünmeyen ikinci bir kaplama ise kilit ekranı kodunu ele geçiriyor.
Group-IB’nin analizine göre operatör, Erişilebilirlik yetkisi üzerinden dokunma ve yazma işlemlerini taklit ederek kurbanın telefonu üzerinde doğrudan işlem yapabiliyor. Bu sırada kara ekran, gerçekleşen hareketleri görünmez hale getiriyor. Böylece bir bankacılık işlemi, telefonda önceden açılmış uyarıdan tamamen ayrıymış gibi yürütülebiliyor.
Endonezya örneklerinde zincirin sırası da netleşti: önce Gigabud yükleniyor, dakikalar içinde Vwork geliyor, ardından değiştirilmiş bankacılık uygulaması kuruluyor. İncelenen vakalardan birinde iş profiline kurbanın kendi bankacılık uygulamasının kopyası değil, gerçek bir Endonezya bankasının sahte sürümü kondu.
Vwork, Shelter’a benziyor ama kontrol saldırganda
İkinci parça olan Vwork, ilk bakışta Shelter adlı açık kaynak araçla aynı mimariyi paylaşıyor. Shelter, cihaz sahibinin uygulamaları ayırması ya da çoğaltması için Android’in iş profili özelliğini kullanıyor ve bunu kullanıcı yönlendirerek yapıyor. Vwork ise aynı iş akışlarını başka uygulamaların erişimine açıyor; iş profili kurma, uygulamayı profilde çoğaltma, içerikleri listeleme ve profilde uygulama açma gibi işlevler artık dışarıdan tetiklenebiliyor.
Analizde, Vwork içindeki koruma kontrollerinin kaldırıldığı ve cihazdaki herhangi bir uygulamanın bu işlevleri çağırabildiği ifade ediliyor. Profil oluşturulmadan önce de Vwork, harici bir sunucudan izin istiyor; Gigabud ise Vwork için özel hazırlanmış komutlar taşıyor.
Shelter kullanıcısını bir profil oluşturmadan önce birkaç ekrandan geçiriyor. Vwork aynı işlemi Çince yazılmış tek bir uyarı penceresine indiriyor. Araştırmacılar, bu farkın aracın kim tarafından yönetildiğini açıkça gösterdiğini belirtiyor: Shelter’da kontrol telefondaki kişide, Vwork’te ise saldırı zincirini yöneten tarafta.
Group-IB, Vwork örneğini tek başına incelediğini ve bunun hâlâ aktif geliştirme aşamasında olduğunu söylüyor. Eklenen bazı işlevlerin kararsız davrandığı, açık kaynak Android sürümüne yakın yapılarda beklenen şekilde çalışmadığı aktarılıyor. Raporda, tekniğin hangi telefonlarda ya da hangi Android sürümlerinde çalıştığı ise belirtilmiyor.
Şirket, Vwork ile uyumlu hazırlanmış Gigabud örneklerinin Brezilya, Kolombiya, Mısır, Endonezya, Laos, Meksika, Fas, Filipinler, Tayland, Türkiye ve ismi açıklanmayan bir Körfez İşbirliği Konseyi ülkesini hedef aldığını da bildirdi. Ancak bunların doğrulanmış bulaşmalar değil, örnekler olduğu vurgulandı. Kesinleşen tek zincir Endonezya’da görüldü.
Şubat ile Temmuz 2026 arasında yalnızca Endonezya’daki gözlemler üzerinden yaklaşık 1.469 ele geçirilmiş cihaz ve 1.281 olası ele geçirilmiş oturum kayda geçti. Tahmini kayıp 960 bin dolar civarında hesaplandı. Araştırmacılar bu sayıların ülkenin tamamını değil, kendi gördükleri faaliyeti yansıttığını özellikle not etti. Kaç cihazda Vwork bulunduğu ise açıklanmadı.
Analiz, iki aracı da GoldFactory ile ilişkilendiriyor. Araştırmacılar, Vwork kodunda Gigabud paket adlarına atıf yapan bir dal, iki araçta ortak ağ göstergeleri ve Çince yazılmış geliştirici günlükleri bulduklarını; bu göstergeleri yayımlayamadıklarını söylüyor.
Gigabud ile Vwork’ün izine, Aralık 2025’te yayımlanan ve Güneydoğu Asya’daki değiştirilmiş bankacılık uygulamaları kampanyasını inceleyen önceki çalışmada da rastlanmıştı. O çalışmada Vwork’ün yalnızca o kampanya içinde görüldüğü belirtilmişti.
Android’de iş profilini nasıl kontrol etmek gerekiyor
Android’de iş profili ayarı telefonda doğrudan görünüyor. Google’ın kullanıcı rehberi, bu alanın nerede bulunduğunu ve nasıl silindiğini anlatıyor. Ayarlar menüsünde Şifreler ve hesaplar bölümüne girildiğinde, cihazda iş profili varsa bir Work sekmesi çıkıyor. İş profilindeki uygulamaların ikonlarında küçük bir çanta simgesi yer alıyor.
Profili kaldırmak için Work sekmesinden Remove Work Profile seçiliyor, ardından Delete ile işlem tamamlanıyor. Google, bu adımın profil içinde saklanan her şeyi sildiğini belirtiyor. Ardından profili oluşturan uygulamanın cihazda kalıp kalmadığı da kontrol ediliyor. Group-IB, Vwork’ün simgesini uygulama başlatıcısında gizlediğini, buna karşın dosya yöneticisinde görünmeye devam ettiğini aktarıyor.
Google’ın anlattığı silme akışı, cihazın kullanıcıya ait olduğu senaryoya dayanıyor. İşverenin sahibi olduğu profillerde kullanıcı bu işlemi tek başına kaldıramıyor. Group-IB raporu, Gigabud kişisel profilde hâlâ kuruluysa iş profilini silmenin riski kesip kesmediğini ise netleştirmiyor.
Araştırmacılar kullanıcılara yalnızca resmi mağazalardan uygulama yüklemelerini, erişilebilirlik iznini erişilebilirlik aracı olmayan hiçbir uygulamaya vermemelerini ve bankacılıkta SMS’e dayanmayan ikinci bir doğrulama yöntemi kullanmalarını öneriyor. Bankalar için işaret olarak sayılan belirtiler arasında, kimsenin kurmadığı bir iş profilinin sıradan bir tüketici telefonunda aniden belirmesi, aynı bankacılık uygulamasının her iki profilde de kurulum izi bırakması, profilde normalde beklenen uygulamaların hiç bulunmaması ve bir uygulama için mantıklı bir neden yokken Erişilebilirlik’in açık olması yer alıyor.
Android’in iş profili özelliği kurumsal cihaz yönetiminde meşru amaçlarla da kullanılıyor. Çalışanlar bu sayede iş ve kişisel uygulamaları ayırabiliyor; güvenlik ekipleri de aynı yapıyı kendi yönetim senaryolarında denetim için kullanabiliyor. Buradaki farkı belirleyen şey aracın kendisi değil, kimin kurduğu ve kimin yönettiği yapı oluyor.
Gigabud’un iş profilini bir kalkan gibi kullanması, bankacılık uygulamalarının cihaz içi taramalarındaki kör noktayı da gösteriyor. Yine de bu teknik, açık bir Android hatasından çok platformun sunduğu özelliğin saldırgan lehine ters yüz edilmesine dayanıyor. Promon’un 2023’te tanımladığı FjordPhantom örneğinde olduğu gibi, mobil bankacılık uygulamalarını bir kapsayıcı içine alma yaklaşımı yeni değil. FjordPhantom gerçek bankacılık uygulamasını sanal bir kapsayıcı içinde çalıştırıp davranışını içeriden değiştiriyordu; burada ise Android’in zaten sağladığı sınır, trojan’ı denetimin dışında tutmak için kullanılıyor.