Tabla de contenidos
¿Por qué los perfiles de trabajo en Android se convierten en refugio para malware?
No es un simple trojan. Es un ingeniero de evasión. Gigabud no se contenta con infiltrarse: crea un segundo espacio en tu teléfono, como si fuera un escondite en una ciudad moderna. Vwork, su herramienta secundaria, separa al malware del área personal del dispositivo, convirtiendo Android en un refugio para el malware. Group-IB lo confirma: esta táctica permite que el trojan siga operando sin que las apps bancarias lo detecten, como si estuviera oculto detrás de una cortina.
Nuevo método de evasión del trojan Gigabud en Indonesia usando Vwork
El trojan Gigabud, activo desde 2022 y vinculado al grupo GoldFactory, ahora tiene un nuevo aliado: Vwork. Esta aplicación secundaria crea perfiles de trabajo en Android, típicamente usados para apps empresariales, pero ahora se convierten en un escudo para el malware. En Indonesia, los dispositivos infectados primero reciben Gigabud, luego Vwork y finalmente una versión falsa de una app bancaria local. Es como si el malware se hubiera metido en un edificio de oficinas y se hubiera escondido en una sala de reuniones.
Nueva amenaza cibernética afecta apps bancarias en Indonesia
El resultado: transacciones fraudulentas sin alertas claras. Group-IB registró 1,469 dispositivos comprometidos y 1,281 intentos de inicio de sesión entre febrero y julio de 2026, con pérdidas estimadas de $960,000. Para los usuarios, el riesgo es que el malware opera en segundo plano, incluso tras eliminar el perfil de trabajo. Es como si el intruso ya se hubiera ido, pero dejó una puerta abierta.
Gigabud: trojan activo desde 2022 se distribuye mediante apps falsas de instituciones oficiales
Gigabud no es un novato. Desde 2022, ha estado activo y se distribuye mediante apps falsas que imitan aerolíneas, oficinas fiscales o portales gubernamentales. GoldFactory, su grupo asociado, ha usado técnicas similares en campañas en Asia del Sureste. Vwork, la nueva herramienta, se basa en Shelter, un software de código abierto que permite aislar apps, pero con controles modificados para permitir su uso malicioso. Es como si alguien hubiera tomado un edificio de oficinas y lo hubiera convertido en un almacén de armas.
Te recomendamos: Konami y 2000 AD lanzan un cómic oficial de Silent Hill: Townfall
Gigabud ataca en Indonesia y deja rastros en 10 países más
Aunque Indonesia es el único país confirmado con el ataque completo, Group-IB mencionó que muestras de Gigabud con Vwork han sido encontradas en Brasil, Colombia, Egipto, Laos, México, Marruecos, Filipinas, Tailandia, Turquía y un país del Consejo de Cooperación del Golfo. En México, los usuarios deben estar alertas a apps sospechosas y evitar permisos de accesibilidad no justificados. Es como si el malware hubiera dejado una huella en una ciudad y se hubiera ido, pero dejó un mapa para otros.
Group-IB deja preguntas sin respuesta sobre vulnerabilidades de Android y alcance global de Vwork
Group-IB no especificó qué dispositivos o versiones de Android son vulnerables. Además, no se sabe si eliminar el perfil de trabajo elimina completamente el riesgo si Gigabud sigue instalado en el espacio personal. También se desconoce si Vwork se usa en otros países fuera de Indonesia. Es como si alguien hubiera dejado una puerta abierta, pero no sabemos si hay más puertas en otros edificios.
¿cómo protegerte y qué hacer?
Group-IB recomienda instalar apps solo desde tiendas oficiales, rechazar permisos de accesibilidad a apps no confiables y usar autenticación de dos factores que no dependan de SMS. Para bancos, señales clave incluyen perfiles de trabajo en dispositivos de usuarios comunes, apps bancarias instaladas en ambos perfiles y permisos de accesibilidad en apps sin justificación. Es como si el usuario tuviera un escudo, pero necesita saber cuándo usarlo y cómo reforzarlo.
Para más contenidos como este no olvides seguirnos en nuestras redes sociales: Tiktok, Instagram y Facebook.
