GigabudがAndroidの業務隔離領域を悪用 — 偽銀行アプリを複製して検知を回避、Group-IBが報告

シンガポールのサイバーセキュリティ企業Group-IBは2026年9月9日、Android向けバンキング型トロイの木馬「Gigabud」が、アプリ複製ソフトを改造した付随ツール「Vwork」を使って銀行アプリを端末内の隔離領域に複製し、検知を回避する新たな手口を報告した。攻撃者は端末の乗っ取りと隔離領域の管理を2つのツールに分担させ、金融機関の不正検知と不正取引の関連付けを断ち切る。Group-IBの研究者Pavel Naumov氏とBryan Karunachandra氏が分析をまとめている。

日本でも銀行や決済サービスを狙うAndroidマルウェアの被害が続いている。今回の手口は正規のOS機能を悪用するため、従来のマルウェア検知だけでは捉えにくい。利用者と金融機関の双方に対策の見直しが求められる。

Gigabudとは — 2022年から活動する遠隔操作型の銀行狙いマルウェア

Gigabudは2022年から活動が確認されているAndroid向けリモートアクセス型のバンキング型トロイの木馬だ。Group-IBは開発主体を「GoldFactory」と分析している。攻撃は東南アジア、南アジア、中東、アフリカ、中南米で検出されている。

感染のきっかけは地域ごとに作り分けられた偽装だ。攻撃者は航空会社、税務当局、政府ポータルを装うフィッシングサイトやメッセージアプリ、SNS投稿から、Gigabud入りの偽アプリを公式ストア外で配布する。利用者が偽アプリを起動すると、Gigabudはユーザー補助（アクセシビリティ）機能の有効化、上書き表示の許可、バッテリー最適化の除外を求める。ユーザー補助権限を与えた時点で、攻撃者は端末の実質的な遠隔操作権を得る。

その後、Gigabudは端末内のインストール済みアプリ一覧を攻撃者のサーバーに送信して標的の銀行を特定し、常時接続の遠隔操作チャネルを開いて待機する。利用者が正規の銀行アプリを開くと、その上に偽のログイン画面を重ねて入力内容を盗み、ロック画面の暗証番号も別の透明な重ね合わせ画面で取得する。

Vworkとは — オープンソース複製ソフトを武器化した付随ツール

Vworkは、オープンソースのAndroidアプリ複製ソフト「Shelter」を改造したものだ。Shelter自体は端末所有者が手動で操作する正規ツールで、Androidの「Work Profile（業務プロファイル）」機能を使って隔離されたアプリ実行領域を作る。Work Profileは本来、企業が従業員の端末に業務用領域を用意するための正規のOS機能で、個人用領域とはアプリが分離される。

Group-IBの技術分析によると、VworkはShelterとアーキテクチャやクラス名が一致し、悪用目的の改造が加えられている。主な変更点は以下の通りだ。

• 他アプリからの利用を制限するShelterの署名チェックを削除し、任意のアプリがVworkを操作できるようにした
• ファイル受け渡し機能を変更し、同一プロファイル内の任意アプリに読み書き機能を提供する
• 隔離領域でのサイドローディング（公式ストア外導入）を許可し、ユーザー補助サービスを制限する
• 領域作成、アプリ複製、複製一覧取得、任意アプリ起動の4機能を外部向け部品（エクスポート済みコンポーネント）として公開し、外部アプリがAPI経由で操作できるようにした
• 複製には外部認証サーバーの許可が必要で、Gigabudが用意するサーバー住所とトークンを使う

さらにVworkは導入時の複数画面の注意喚起を1画面にまとめ、起動アイコンもランチャーに表示しない。中国語に翻訳された画面は業務プロファイルという用語を「仮想空間」と言い換えている。所有者の目に触れにくくし、複製機能を外部アプリに開放する改造は、悪用を目的とした意図的な武器化だとGroup-IBは結論づけている。

感染の流れ — 偽銀行アプリの複製から黒画面の送金操作まで

Group-IBがインドネシアの実端末で確認した感染連鎖は、次の順序で進む。

1. 侵入: 偽アプリとしてGigabudが導入される（図2に相当）
2. Vwork導入: 感染から数分以内にVworkが導入される（図3に相当）
3. 偽銀行アプリの複製: 標的の銀行アプリ（確認例ではインドネシアの実在銀行を装う偽物）が隔離領域に複製される（図4に相当）
4. 不正送金: 攻撃者は端末を完全遠隔操作し、黒画面で操作を隠しながら取引を実行する

Gigabud側にもVwork連携のための改造が確認されている。一部のGigabud検体は起動宣言（マニフェスト）でVworkのパッケージ名（net.yy.vwork）を列挙し、サーバーとの通信では対象アプリ名に「vwa-」の接頭辞を付ける。さらにinitVwa、cloneApp、uploadCloneAppsという3つの新しい遠隔命令が追加されていた。

検知回避の核心 — プロファイル分離が検知と取引の関連を断つ

この手口が厄介な理由は、Androidのプロファイル分離の仕組みそのものを突いている点にある。あるプロファイルで検出されたマルウェアの情報は、別のプロファイルの活動に自動的には結びつかない。攻撃者はこの分離を次のように利用する。

まず攻撃者は個人用領域にマルウェアを置くが、そこではすぐには送金しない。金融機関が不審な活動を検知しても、金銭被害がなければ強い措置に進まない場合がある。次に攻撃者はVworkで新しい業務隔離領域を作り、標的の銀行アプリを複製して、新しい領域から送金を実行する。金融機関から見ると、取引は未知の新規端末からのものに見え、以前の検知シグナルとは無関係に映る。個人用領域で上がった検知は新しい隔離領域では発火しないため、検知と不正取引の関連が断たれ、不正送金が監視をすり抜ける。

被害規模も報告されている。Group-IBの観測では、インドネシアだけで2026年2月から7月に約1,469台の侵害端末と約1,281件の漏えい可能性のあるログインが確認され、推定被害額は約96万ドル（約1.4億円相当）に上る。Group-IBはこれを観測範囲の数値であり全容ではないと断っている。Vwork対応のGigabud検体が標的とする国として、ブラジル、コロンビア、エジプト、インドネシア、ラオス、メキシコ、モロッコ、フィリピン、タイ、トルコと湾岸協力会議（GCC）の加盟1か国が挙げられている。日本は標的リストに含まれていないが、手口自体は地域を問わず応用可能だ。

帰属 — GigabudとVworkは同一主体の開発と分析

Group-IBはVworkを「Hook for Gold」作戦でのみ検出しており、同作戦をGoldFactoryのものと分析している。Vwork検体にはGigabudのパッケージ名への参照分岐があり、ネットワーク指標や中国語の開発者ログの重なりも確認された（詳細な指標は顧客向けポータルでのみ公開）。Group-IBは、Gigab يوافقdがVworkと連携するだけでなく、両者がGoldFactoryによって開発・改変されたと結論づけている。

推奨策 — Group-IBが示す利用者・金融機関・事業者への呼びかけ

Group-IBは立場別に次の推奨策を公表している。以下はGroup-IBの公表内容に基づく。

• 利用者向け: アプリは公式ストアからのみ導入し、補助ツールでないアプリへのユーザー補助権限の付与を拒否する。銀行・暗号資産アプリの二要素認証はSMSに依存しない方式を使う
• 銀行・ウォレット事業者向け: ログインを特定の信頼端末に紐付け、セッション内の操作の順序や時刻の異常を監視する。未知のアプリにユーザー補助権限が有効な端末からの取引は遮断する
• セキュリティベンダー向け: 署名ベース検知と振る舞い検知の両方を実装する。Group-IBは自社のFraud Protectionが「業務隔離領域で動作する保護対象アプリ」を検出できるとしている
• 規制当局・政府向け: 公式アプリは検証済みストア経由でのみ配布させ、正規アプリがチャット内のファイルとして共有されることはないと利用者に周知する

早期警戒の兆候としてGroup-IBは、利用者も企業のIT部門も設定していない隔離領域の出現、プロファイルをまたぐ同一銀行アプリの導入痕跡、正規アプリのない空っぽの隔離環境、不相応なアプリへのユーザー補助権限の付与、短時間での連続したストア外導入を挙げている。同社は2つ以上の兆候が重なれば高リスクとして取引を直接遮断する基準が有効だとしている。

出典

• Group-IB, “Vwork: Weaponized Open-source Software as an Addon for Gigabud”（2026年9月9日）: https://www.group-ib.com/blog/vwork-app-cloning-gigabud-goldfactory/