Gigabud + Vwork: 1.469 Geräte, geklonte Banking-App im Work-Profil

Rund 1.469 kompromittierte Geräte, 1.281 potenziell übernommene Logins und geschätzt 960.939 US-Dollar Schaden in Indonesien – Group-IB zeigt, wie der Banking-Trojaner Gigabud mit dem Shelter-Fork Vwork eine zweite Banking-App im Android-Work-Profil anlegt. Der Haken: Fraud-Checks im Privat-Profil sehen die Transaktion oft nicht. Wann ist eine zweite Banking-App mit Koffer-Badge Alarm? Und warum Accessibility für Airline- oder Steuer-APKs ein klares Nein ist.

Rechnen wir nach: Zwischen Februar und Juli 2026 zählt Group-IB in Indonesien allein rund 1.469 kompromittierte Android-Geräte, 1.281 potenziell kompromittierte Logins und einen indikativen Verlust von etwa 960.939 US-Dollar. Das ist keine abstrakte Threat-Intel-Folie – das ist ein Kontoauszug in Trojaner-Form. Und der Clou der Kampagne heißt nicht nur Gigabud. Er heißt Vwork: ein weaponisierter Fork der Open-Source-App Shelter, der das Android-Work-Profil missbraucht, um Banking-Apps zu klonen und Fraud-Signale vom eigentlichen Cash-out zu trennen.

Unter dem Strich geht es um ein Muster, das FinTech-Teams und Privatkundschaft gleichermaßen betrifft: Isolation, die eigentlich schützen soll, wird zur Tarnkappe. Die These ist konkret: Wenn Malware im Privat-Profil wohnt und die Betrugstransaktion im Work-Profil läuft, kann die Bank-App-Erkennung im persönlichen Bereich die Zahlung im isolierten Bereich schlicht nicht „sehen“. Group-IB hat das am 9. September 2026 öffentlich gemacht; Malwarebytes hat die Consumer-Lesart zwei Tage später nachgezogen. Dieser Artikel ordnet ein, was Nutzer:innen und Banken daraus ableiten sollten – ohne Bauanleitung, ohne Payloads, ohne Nachbauhilfen.

Wer die Summe auf monatsweise Anteile runterrechnet, landet bei grob 190.000 Dollar indikativem Schaden pro Monat allein in dem beobachteten Indonesien-Fenster – bei gleichzeitig rund 245 kompromittierten Geräten und etwa 213 Logins im Monatsmittel. Das sind Durchschnitte, keine Prognose. Aber sie zeigen: Die Kampagne skaliert nicht über einen einzelnen spektakulären Coup, sondern über viele Geräte und viele Sessions. Genau deshalb lohnt sich der Blick auf Alarmzeichen im Alltag – nicht erst auf den Schaden im Kontoauszug.

1.469 Geräte, 1.281 Logins: Was Group-IB konkret zählt

Die Zahlen aus Indonesien sind indikativ, nicht die Obergrenze der Region – Group-IB betont das ausdrücklich. Trotzdem lohnt sich der Blick auf die Größenordnung. Rund 1.469 Geräte, 1.281 potenziell übernommene Logins, knapp eine Million Dollar geschätzter Verlust in fünf Monaten. Das ist genug Material, um das Risiko nicht als Randnotiz abzutun. Gigabud selbst ist kein Neuling: Seit 2022 operiert der Android-Remote-Access-Banking-Trojaner laut Group-IB in Südostasien, Südasien, Nahost/Afrika und Lateinamerika; die Entwicklung wird der Gruppe GoldFactory zugeschrieben.

Samples mit Vwork-Fähigkeit tauchen laut der Analyse nicht nur in Indonesien auf, sondern auch mit Bezug zu Brasilien, Kolumbien, Ägypten, Laos, Mexiko, Marokko, den Philippinen, Thailand, der Türkei und einem GCC-Mitgliedstaat. Die Infektionskette ist in Indonesien bestätigt. Für das deutsche Publikum heißt das nicht „nur Asien-Problem“ – es heißt: Android-Banking-Fraud wird industrialisiert und exportierbar. Wer sich mit modularer Malware und Banking-Angriffen in Deutschland beschäftigt, kennt die Richtung; der Überblick zu Banking-Trojanern und modularer Malware zeigt, wie schnell regionale Bausteine in andere Märkte wandern.

Der Köder ist so alt wie effektiv: gefälschte Airline-, Steuer- oder Behörden-APKs außerhalb der offiziellen Stores – über Phishing-Seiten, Messenger und soziale Netzwerke. Genau dort beginnt der Kontrollverlust, lange bevor jemand eine Überweisung freigibt. Und genau dort greift der Alltagsschutz: Keine APK aus dem Chat, keine „Steuer-App“ vom Kurzlink, kein Installieren „nur kurz, um das Ticket zu prüfen“. Die soziale Geschichte dahinter ist immer dieselbe: Dringlichkeit, Autorität, Angst vor Fristverlust. Eine angebliche Steuer-App will „heute noch“ installiert werden; eine Airline-APK verspricht Check-in oder Entschädigung. Unter dem Strich ist das kein IT-Problem, sondern ein Entscheidungsproblem am Homescreen.

Group-IB ordnet Gigabud dem GoldFactory-Umfeld zu und beschreibt Vwork als Begleiter, nicht als Solo-Tool: Ohne eine externe Steuerung auf demselben Gerät macht Vwork allein wenig Sinn. Die Arbeitsteilung ist der Punkt – ein Baustein übernimmt Gerätezugriff und Credential-Diebstahl, der andere organisiert den isolierten Raum. Für Banken bedeutet das: Signaturen und SDK-Scans, die nur im Privat-Profil greifen, reichen nicht, wenn der Cash-out im Work-Profil stattfindet.

2 Profile, 1 Trick: Vwork und Isolation als Betrugsvorteil

Android-Work-Profile sind kein Bug. Sie trennen berufliche und private Apps – ein Feature, das Unternehmen und Datenschutz brauchen. Shelter, das Open-Source-Werkzeug, nutzt genau diese Isolation, damit Nutzer:innen Apps bewusst in einem separaten Raum betreiben können. Vwork ist laut Group-IB ein Fork davon: Die manuelle Steuerung wird so verändert, dass Dritt-Apps – hier Gigabud – Klon- und Profilfunktionen anstoßen können. Shelter bleibt im Kern ein Werkzeug für den Gerätebesitz; Vwork macht daraus eine Schnittstelle für Malware.

Warum das für Fraud so attraktiv ist, lässt sich ohne Technik-Rezept erklären. Apps in einem Profil sind weitgehend von Apps in einem anderen Profil isoliert – inklusive signaturbasierter Malware-Erkennung. Erkennung im Privat-Profil bedeutet deshalb nicht automatisch Alarm im Work-Profil. Betrüger:innen können zuerst im persönlichen Bereich landen, dort Zugangsdaten abgreifen und erst später die Banking-App in den isolierten Bereich klonen. Die Transaktion wirkt für die Bank wie von einem „neuen Gerät“. Der Haken: Der Malware-Alarm und der Cash-out hängen nicht mehr am gleichen Profil-Faden.

Malwarebytes fasst das für Endnutzer:innen zusammen: Ein Work-Profil allein ist kein Beweis für Kompromittierung – es gibt legitime Einsatzzwecke. Eine geklonte Banking-App hingegen ist verdächtig. Das ist die Unterscheidung, die zählt. Wer auf dem privaten Smartphone plötzlich ein Work-Profil sieht, das nie eingerichtet wurde, sollte hellhörig werden. Wer zwei praktisch identische Banking-Apps über Profile hinweg findet – inklusive Koffer-Badge am Icon –, sollte nicht „später“ denken, sondern die Bank über einen vertrauenswürdigen Kanal kontaktieren.

Unter dem Strich missbrauchen die Angreifenden ein Sicherheitskonzept, das Banken und MDM-Teams eigentlich mögen: Isolation. Die Rendite für die Gegenseite liegt darin, dass Fraud-Checks, die nur im Privat-Profil greifen, die Transaktion im Work-Profil oft nicht mit dem zuvor erkannten Trojaner verknüpfen. Das ist keine Magie – das ist Architektur-Arbitrage. Group-IB spricht von einer neuen Evasion-Technik im Android-Banking-Umfeld: Ziel-Apps werden mit Hilfe von Vwork in ein verwaltetes Profil geklont. Die Konsequenz für Defender:innen ist klar formuliert – Verhaltenssignale müssen Profil-Grenzen überqueren, sonst bleibt die Lücke offen.

Ein weiteres Detail aus der Analyse: Vwork tritt im Launcher oft unauffällig auf; Spuren können dennoch in Dateimanager-Ansichten sichtbar bleiben, weil Komponenten als Dokumentenanbieter wirken. Für Laien heißt das nicht „jetzt forensisch suchen“, sondern: Wenn plötzlich ein Work-Profil und eine zweite Banking-App da sind, reicht der Verdacht. Professionelle IOC-Listen gehören in die Group-IB-Originalanalyse – hier bleibt der Fokus auf Nutzer:innen und Banken.

Accessibility, Overlay, Batterie-Ausnahme: Drei Nein, die sich lohnen

Group-IB beschreibt die Berechtigungen, die Gigabud nach der Installation anfordert: Accessibility, Zeichnen über anderen Apps und Ausnahme von der Batterieoptimierung. Der entscheidende Kontrollmoment ist Accessibility. Für eine echte Barrierefreiheits-App kann das sinnvoll sein. Für eine angebliche Airline-, Steuer- oder Behörden-App ist es ein klares Nein. Wer hier zustimmt, gibt der Gegenseite die Möglichkeit, das Gerät wie eine Fernbedienung zu bedienen – Tippen, Scrollen, Overlay-Tricks inklusive.

Das Muster passt zu dem, was wir seit Jahren bei Phishing und Social Engineering im Finanzsektor sehen: Der technische Exploit ist oft zweitrangig; der menschliche Klick auf „Zulassen“ ist der Hebel. Overlay-Rechte und Batterie-Ausnahmen verstärken Persistenz und Tarnung. Konkrete Alltagsschutz-Regel: Wenn eine App, die keine Barrierefreiheit anbietet, Accessibility verlangt – Ablehnen. Wenn eine Steuer- oder Ticket-APK „über anderen Apps einblenden“ will – Ablehnen. Wenn dieselbe App sofort nach einer anderen Sideload-Installation auftaucht – Stopp und prüfen.

Zwei-Faktor-Authentifizierung bleibt sinnvoll, aber SMS-only ist für Banking und Krypto zu dünn. Authenticator-Apps, Hardware-Token oder bankeigene Push-Verfahren mit Gerätebindung sind robuster, wenn Zugangsdaten über Overlays abfließen. Das ersetzt keinen Store-Disziplin-Check – es begrenzt den Schaden, wenn der erste Filter versagt. Rechnen wir nach: Ein SMS-Code, der auf demselben Bildschirm erscheint, den die Gegenseite mitliest oder steuert, ist kein zweiter Faktor mehr – er ist ein zweiter Screenshot. Genau deshalb empfehlen Group-IB und Malwarebytes Faktoren jenseits von SMS.

Noch ein Punkt, der sich lohnt: Berechtigungen regelmäßig auditieren. Android listet unter den Einstellungen, welche Apps Accessibility nutzen. Wer dort eine App findet, die keine Screenreader- oder Assistenzfunktion hat, sollte den Eintrag entfernen und die Herkunft der App prüfen. Dasselbe gilt für „über anderen Apps einblenden“. Diese zwei Listen sind die günstigste Sicherheitskontrolle, die Sie ohne Extra-Software haben.

Die Tabelle ist Absicht: Zahlen und Alarmzeichen gehören nebeneinander. Die Indonesien-Kennzahlen zeigen, dass die Kampagne messbar Schaden anrichtet. Die Alarmzeichen zeigen, worauf Sie achten können, ohne in Forensik abzurutschen. Technische Indikatoren (IOCs) dokumentiert Group-IB in der Originalanalyse für Defender:innen – hier geht es um Nutzer:innen und Banken, nicht um Hash-Listen im Fließtext.

6 Schritte auf Konzept-Ebene: Von der Fake-APK zum Cash-out

Dieses Bild wurde komplett mit KI generiertProviderhiggsfieldModellgpt_image_2PromptPhotorealistic still life: one smartphone standing between two blurred profile silhouettes, one casual private, one briefcase work-profile, a faint split-screen metaphor, cool documentary light, no logos, no readable UI, no brand marks, no text overlay, 16:9

Ohne Reproduktionsschritte und ohne C2-Details lässt sich das Schema auf Alltagsebene so skizzieren: Zuerst die Sideload-APK (Airline/Steuer/Behörde). Dann die Berechtigungsanfragen. Anschließend inventarisiert die Malware installierte Apps, um Banking-Ziele zu priorisieren. Credential-Overlays fangen Login und teils den Gerätesperrcode ab. Danach wird Vwork nachgeladen, ein Work-Profil angelegt und die Banking-App hinein geklont. Fraud und Cash-out laufen aus diesem isolierten Raum; ein schwarzer Bildschirm kann Aktivität verdecken.

Das ist die Konzept-Ebene – und mehr brauchen Sie für den Schutz nicht. Was zählt, ist der Bruch zwischen „Malware erkannt“ und „Transaktion autorisiert“. Banken, die Gerätebindung, Session-Timing und Accessibility-Signale über Profile hinweg korrelieren, sind besser dran als Systeme, die nur im Privat-Profil scannen. Group-IB beschreibt genau diesen Korrelationsansatz in der Fraud-Protection-Perspektive: Mehrere Verhaltenssignale zusammen – unerwartetes Work-Profil, identische Banking-Marker über Profile, Accessibility für unsinnige Apps, unerwartete Sideload-Kette – reichen, um Transaktionen zu blockieren.

Für Privatkundschaft bleibt die Reihenfolge banal und wirksam: nur offizielle Stores; Accessibility verweigern, wenn die App keine Barrierefreiheitsfunktion hat; bei Verdacht Bank über App-Hotline oder Filiale erreichen, nicht über die verdächtige App selbst. Malwarebytes ergänzt: Rechte entziehen, deinstallieren, und nach Sicherung bekannter guter Daten einen Werksreset erwägen. Das ist die Consumer-Checkliste – kein Drama, aber konsequent.

Wichtig für die Einordnung: Group-IB bestätigt Banking als Zielindustrie in den vorliegenden Daten; Krypto wird im Gesamtkontext von Gigabud mitgedacht, ist hier aber nicht der bestätigte Fokus der Indonesien-Zahlen. Die Lure-Varianten – Airline, Steuer, Behörde – sind regional austauschbar. Was bleibt, ist der Sideload außerhalb der Stores. Wer Messenger-Anhänge und „APK-Links“ konsequent meidet, senkt das Risiko vor der ersten Berechtigungsfrage.

960.939 Dollar und der Koffer-Badge: Wann Alarm Sinn ergibt

Wann ist die zweite Banking-App mit Koffer-Badge Alarm? Konkrete Faustregel: Wenn Sie nie bewusst ein Work-Profil eingerichtet haben und trotzdem eine zweite Instanz Ihrer Bank-App mit dem typischen Arbeits-Badge sehen – verdächtig. Wenn die zweite Instanz kurz nach einer Sideload-Installation auftaucht – hochverdächtig. Wenn gleichzeitig Accessibility für eine Nicht-a11y-App aktiv ist – Handeln, nicht Abwarten.

Umgekehrt: Ein Work-Profil, das Ihr Arbeitgeber per MDM eingerichtet hat, oder das Sie selbst für App-Isolation nutzen, ist für sich genommen kein Kompromittierungsbeweis. Der Unterschied liegt im Kontext – und in der geklonten Banking-App. Malwarebytes sagt das klar; Group-IB listet die Verhaltensbruchstücke, die zusammen das Risiko ausmachen. Der Haken für viele Nutzer:innen: Android-Oberflächen unterscheiden Profile subtil. Wer selten in die App-Liste oder in die Dateimanager-Ansicht schaut, übersieht Vwork-ähnliche Spuren leichter. Deshalb lohnt sich der bewusste Blick: Einstellungen → Nutzer und Konten / Work-Profil, App-Liste auf Duplikate, Berechtigungen auf Accessibility-Einträge prüfen.

Die Serie zu Banking unter Beschuss – Deepfakes, Phishing, Account-Übernahmen zeigt, wie Angriffe längst multimodal laufen. Gigabud plus Vwork ist die mobile Variante derselben Logik: Vertrauen missbrauchen, Isolation ausnutzen, Transaktion vom Erkennungssignal trennen. Deepfake-Calls und Fake-APKs sind verschiedene Eingänge – das Zielkonto ist dasselbe.

Group-IB nennt weitere Alarmzeichen auf Verhaltens­ebene: ein isoliertes, „sauberes“ Umfeld ohne typische Alltags-Apps; Geräteverwaltungsfunktionen, die einer App Kontrolle über andere Apps geben, ohne dass ein nachvollziehbarer Freigabedialog erscheint; unerwartete Sideload-Installationen in kurzem Abstand. Zwei oder mehr dieser Signale in einer Session wertet Group-IB Fraud Protection als hohes Risiko. Für Sie als Privatperson reicht schon ein Signal plus Bauchgefühl, um die Bank anzurufen – Sie müssen keine Fraud-Matrix führen.

3 Blindspots: Was Banken und FinTech jetzt nachrechnen sollten

Rechnen wir nach auf Institutsseite: Wenn Fraud-Engines Transaktionen aus einem neu erschienenen Work-Profil wie „neues Gerät“ behandeln, ohne den Malware-Kontext aus dem Privat-Profil mitzuziehen, entsteht eine blinde Stelle. Gerätebindung und Key-Signing helfen, gestohlene Logins auf Angreifergeräten zu stoppen – Group-IB nennt das ergänzend. Zusätzlich braucht es Verhaltenssignale: Accessibility auf unbekannten Apps, Profil-Provisioning ohne MDM-Historie, Klon-Muster bei Banking-Paketen, ungewöhnliche Session-Reihenfolgen.

Für Wallet- und Crypto-Anbieter gilt dasselbe mit höherer Dringlichkeit: SMS-OTP allein ist in diesem Szenario schwach, wenn das Gerät selbst ferngesteuert wird. Authentisierung, die an ein vertrauenswürdiges Gerät gebunden ist und nicht nur an einen Code, der auf dem kompromittierten Screen erscheint, erhöht die Hürde. Unter dem Strich geht es um Korrelation über Profile hinweg – nicht um noch eine Signatur-Liste.

Regulatorisch und kommunikativ bleibt die Store-Disziplin zentral: Offizielle Apps gehören in verifizierte Stores, nicht als Rohdatei in Messenger. Die Erinnerung an Kundschaft ist so banal wie wirksam – und sie kostet weniger als 960.939 Dollar Schaden in einem einzigen Land und Halbjahr. Wer die Sicherheitsstudie zu Online-Banküberfällen gelesen hat, erkennt das Muster: Die teuersten Angriffe beginnen oft mit einem zu großzügigen Klick, nicht mit einem exotischen Zero-Day.

Konkret für Product- und Fraud-Teams: Prüfen Sie, ob Ihre Mobile-SDKs Work-Profile überhaupt sichtbar machen; ob „neues Gerät“-Scores Work-Profil-Klonen als separates Risikomuster behandeln; und ob Accessibility-Status unbekannter Apps in die Transaktionsentscheidung einfließt. Group-IB empfiehlt Banken und Wallet-Anbietern ausdrücklich, Logins an vertrauenswürdige Geräte zu binden, ungewöhnliches Timing in Sessions zu beobachten und Transaktionen bei Accessibility durch unerkannte Apps zu blockieren. Das ist keine komplette Abwehrgarantie – aber es schließt die Lücke, die Vwork gezielt öffnet.

Alltagsschutz ohne Panik: Fünf Entscheidungen, die sich lohnen

Erstens: Nur offizielle Stores – oder im Zweifel der direkte Publisher-Link der Bank, nie der Chat-Anhang. Zweitens: Accessibility für Nicht-a11y-Apps ablehnen, Punkt. Drittens: Overlay und Batterie-Ausnahmen für Sideload-Apps ablehnen. Viertens: 2FA, die nicht nur auf SMS setzt, für Banking und Krypto. Fünftens: Bei verdächtiger APK plus bereits erteilter Accessibility Bank über vertrauenswürdigen Kanal informieren, Sonderrechte entziehen, App entfernen, ggf. Werksreset nach Sicherung bekannter guter Daten.

Das ist keine Checkliste aus Marketing-Sprech. Das ist die Schnittmenge aus Group-IB-Empfehlungen für Endnutzer:innen und der Malwarebytes-Consumer-Zusammenfassung. Die Rendite liegt nicht in Perfektion, sondern in der frühen Absage an den Kontrollmoment Accessibility. Wer dort Nein sagt, bricht die Kette, bevor Vwork und der Koffer-Badge überhaupt relevant werden.

Ergänzend für Familien und Mehrgeräte-Haushalte: Alte Android-Geräte mit Sideload-Gewohnheit sind oft die schwächste Stelle – nicht das neueste Flagship. Wer Eltern oder Jugendliche mit eigenen Smartphones unterstützt, sollte denselben Dreiklang erklären: Store only, Accessibility-Nein für Nicht-Assistenz-Apps, bei zweiter Banking-App sofort anrufen. Konkrete Übung: Gemeinsam einmal die Accessibility-Liste öffnen und unbekannte Einträge entfernen. Zehn Minuten, die sich lohnen.

Für Security-Teams und Fraud-Analyst:innen bleibt der Verweis auf die Primärquelle: Die vollständige Analyse von Group-IB vom 9. September 2026 zu Vwork, Gigabud und GoldFactory dokumentiert Attribution, Verhaltenssignale und Defender-Perspektive – inklusive IOCs für den professionellen Einsatz. Die Consumer-freundliche Einordnung liefert Malwarebytes am 11. September 2026. Beide Texte ergänzen sich: der eine für die Tiefe, der andere für die Alltagssprache.

Was offen bleibt: Wie schnell Banken in Europa und Deutschland Profil-übergreifende Korrelation in ihre Mobile-SDKs und Fraud-Engines bringen – und ob Store- und Messenger-Plattformen Sideload-Köder für Airline- und Steuer-Themen härter drosseln. Die Indonesien-Zahlen sind ein Frühindikator, kein Abschlussbericht. Gigabud ist seit 2022 aktiv; Vwork zeigt, dass die Gegenseite Isolation als Feature liest. Ob Ihr nächster Alarm der Koffer-Badge oder die Accessibility-Anfrage einer „Steuer-App“ ist, entscheiden Sie – idealerweise, bevor jemand anderes für Sie tippt.