Un troyano bancario para Android ha encontrado una forma sigilosa de engañar a los sistemas antifraude: clona la aplicación de tu banco dentro de un perfil de trabajo separado y ejecuta desde allí transacciones fraudulentas que parecen legítimas.

La técnica fue documentada por Group-IB en una investigación publicada el 9 de septiembre. El malware, llamado Gigabud, ahora se distribuye junto con Vwork, una versión maliciosa de Shelter, la herramienta open-source que permite aislar apps o ejecutar copias de ellas en Android.

El truco del perfil de trabajo

Vwork es una variante «armada» de Shelter: Group-IB atribuye tanto a Gigabud como a Vwork al mismo grupo, que llaman GoldFactory. Mientras que Shelter está diseñado para que el dueño del dispositivo controle el clonado, Vwork expone esas funciones como una interfaz que cualquier otra app del dispositivo puede invocar.

Gigabud incluye código dedicado para esto, con tres nuevos comandos: crear un perfil de trabajo, clonar una app concreta y reportar qué se ha clonado. Además, necesita un token de un servidor de autorización externo que Gigabud obtiene automáticamente.

El objetivo es aislar la detección: las apps de un perfil son prácticamente invisibles para la detección basada en firmas de otro perfil. Así, una alerta de malware en el perfil personal no salta cuando se crea después el perfil de trabajo.

El operador instala el malware, espera, y luego clona la app del banco en el nuevo perfil para operar desde allí. Para la entidad bancaria, el pago parece venir de un dispositivo no reconocido, sin historial de malware.

Fraude con pantallas falsas

Durante el proceso, pantallas de inicio de sesión falsas capturan las credenciales bancarias, mientras un overlay invisible roba el código de bloqueo del dispositivo. Para rematar, un fondo negro oculta todo lo que ocurre en la pantalla durante la transacción fraudulenta.

Alcance y cifras

Group-IB confirmó la cadena de infección completa solo en dispositivos de Indonesia. Sin embargo, las muestras de Gigabud diseñadas para funcionar con Vwork apuntan a 11 países, entre ellos Brasil, Colombia, Egipto, México, Tailandia y Turquía.

Entre febrero y julio de 2026, la firma observó unos 1.469 dispositivos comprometidos y 1.281 inicios de sesión potencialmente comprometidos, con pérdidas estimadas de aproximadamente 960.939 dólares. Group-IB advierte que estas cifras son indicativas, no representativas de toda la región.

Cómo llega a las víctimas

Gigabud, activo desde 2022, se distribuye a través de sitios de phishing, mensajeros y redes sociales, haciéndose pasar por aplicaciones de aerolíneas, autoridades fiscales o gobiernos. En el primer arranque, solicita acceso de accesibilidad, permiso para superponerse sobre otras apps y exención de optimización de batería; el permiso de accesibilidad es el que da el control total al operador.

Señales de alarma para bancos

Group-IB recomienda a las entidades bancarias vigilar seis señales de comportamiento, entre ellas: la aparición de un perfil de trabajo que el usuario nunca configuró, coincidencias de marcadores de apps bancarias entre perfiles, un entorno aislado vacío y acceso de accesibilidad en una app que no tiene razón para necesitarlo. Si dos o más están presentes, la sesión debe tratarse como de alto riesgo.

La firma también sugiere vincular el dispositivo para evitar que credenciales robadas autorizen pagos, y recuerda a los usuarios instalar aplicaciones únicamente desde tiendas oficiales.

Consejos para usuarios

Si has instalado un APK sospechoso y le has concedido accesibilidad, contacta con tu banco por un canal de confianza, revoca los permisos especiales, desinstala la app y considera un restablecimiento de fábrica. La presencia de una segunda instancia de tu app bancaria, o un perfil de trabajo que no creaste, es una señal de peligro clara. Vwork, además, oculta su icono del lanzador, lo que dificulta aún más darse cuenta del clonado.

Group-IB insta a los bancos a monitorear esos comportamientos para identificar sesiones de riesgo antes de que el fraude se consuma.