Gigabud: Trojan Bancário para Android Já Está Mirando o Brasil

Um novo malware para Android batizado de Gigabud está usando uma técnica pouco comum para roubar dinheiro de contas bancárias sem disparar os alarmes dos próprios bancos: ele clona o aplicativo bancário da vítima dentro de um “perfil de trabalho” escondido no celular. O trojan bancário gigabud já foi identificado em amostras direcionadas a mais de dez países — e o Brasil está na lista.

Diferente de golpes mais simples de phishing por SMS ou WhatsApp, o Gigabud é um trojan de acesso remoto completo, com controle do operador sobre o dispositivo infectado. Entender como ele funciona ajuda tanto profissionais de segurança quanto usuários comuns a reconhecer os sinais de infecção antes que seja tarde demais.

O Que é o Gigabud e Como Ele Chega ao Celular

O Gigabud se disfarça de aplicativos legítimos — companhias aéreas, órgãos da receita federal ou portais de governo são disfarces comuns — e é distribuído fora das lojas oficiais, geralmente por links enviados via SMS, e-mail ou mensagens em redes sociais. Uma vez instalado, ele solicita permissão de Acessibilidade, um recurso do Android pensado para ajudar pessoas com deficiência, mas que também dá ao malware controle quase total sobre o que acontece na tela do aparelho.

A Técnica: Perfis de Trabalho do Android Usados para Esconder o Golpe

A parte mais sofisticada do ataque envolve um segundo aplicativo, batizado de “Vwork”, baseado na ferramenta de código aberto Shelter. O Vwork cria um perfil de trabalho isolado no Android — o mesmo recurso que empresas usam para separar dados corporativos dos pessoais — e clona o aplicativo bancário real da vítima dentro desse perfil, sob controle remoto de um servidor externo. É exatamente esse truque que faz o trojan bancário Gigabud passar despercebido durante tanto tempo no aparelho.

O resultado é um aplicativo bancário falso, mas que parece funcionar normalmente, rodando em um espaço isolado do restante do celular. Por fora, para quem não sabe onde procurar, ele é praticamente indistinguível do app oficial.

Por Que os Sistemas Antifraude dos Bancos Não Detectam

Sistemas de detecção de fraude bancária normalmente analisam sinais do dispositivo para identificar comportamento suspeito. O problema é que essas verificações não atravessam a fronteira entre o perfil pessoal e o perfil de trabalho do Android. Como o app bancário falso roda isolado no perfil de trabalho, uma transação fraudulenta feita por ali “parece” não ter relação com qualquer alerta de segurança já disparado no perfil pessoal do aparelho — driblando exatamente o mecanismo que deveria pegar esse tipo de golpe. O trojan bancário Gigabud consegue simular o comportamento normal do usuário justamente para enganar esse tipo de sistema.

Países e Apps na Mira, Incluindo o Brasil

Pesquisadores identificaram amostras do trojan bancário gigabud direcionadas a usuários no Brasil, Colômbia, Egito, Indonésia, Laos, México, Marrocos, Filipinas, Tailândia, Turquia e em um país do Golfo Pérsico. Até o momento, a cadeia completa de infecção foi confirmada com certeza apenas na Indonésia, mas a presença de amostras específicas para o público brasileiro é um forte indício de que campanhas de distribuição por aqui já estão em andamento ou em fase de teste. A lista de países afetados pelo trojan bancário Gigabud já inclui o Brasil entre os alvos mais recentes.

Como Saber se Seu Celular Está Infectado

Alguns sinais ajudam a identificar se um perfil de trabalho suspeito foi criado sem o seu conhecimento:

• Verificar em Configurações > Senhas e Contas (ou seção equivalente do seu Android) se existe um perfil de trabalho que você não configurou.
• Procurar por ícones de aplicativos com um pequeno emblema de maleta, que indica que aquele app está rodando dentro de um perfil de trabalho.
• Revisar quais aplicativos têm permissão de Acessibilidade ativada em Configurações > Acessibilidade, e desativar qualquer app que não seja uma ferramenta de acessibilidade legítima.
• Desconfiar de qualquer aplicativo instalado fora da Google Play Store, especialmente os recebidos por link em SMS ou mensagens diretas.

Como se Proteger do Trojan Bancário Gigabud

A boa notícia é que as mesmas práticas básicas de segurança que já recomendamos em outras coberturas do blog reduzem bastante o risco:

• Instalar aplicativos apenas pela loja oficial do Android, nunca por links recebidos em mensagens.
• Negar a permissão de Acessibilidade para qualquer app que não seja explicitamente uma ferramenta de acessibilidade.
• Usar autenticação multifator para acesso bancário que não dependa apenas de SMS, já que mensagens de texto também podem ser interceptadas pelo malware.
• Manter o sistema operacional e os aplicativos sempre atualizados, seguindo a mesma disciplina de correções rápidas que discutimos ao cobrir as vulnerabilidades críticas em Cisco, Citrix e Fortinet — patches existem justamente para fechar as portas que malwares como o Gigabud exploram.
• Excluir qualquer perfil de trabalho suspeito diretamente pela aba “Trabalho” das configurações do Android, caso um seja encontrado sem explicação.

Por que golpes assim têm crescido tanto no Brasil

Eu acompanho esse tipo de notícia há tempo o suficiente para notar um padrão: quase todo trojan bancário que chega ao Brasil já tinha sido testado antes em outro país, geralmente da América Latina ou do Sudeste Asiático, antes de ser adaptado para o português e para os apps dos bancos brasileiros especificamente. Isso não é coincidência — o Brasil é hoje um dos maiores mercados de fraude bancária móvel do mundo, puxado pelo volume gigantesco de transações via Pix e pela adoção quase universal de aplicativos bancários no celular. O trojan bancário Gigabud é só o exemplo mais recente de uma tendência que já vem de outras famílias de malware bancário.

Essa combinação cria um incentivo econômico forte demais para os grupos criminosos ignorarem. E não é só malware tradicional disputando espaço: a mesma onda de sofisticação aparece em fraudes com deepfake em videochamadas e em golpes de engenharia social que miram diretamente o suporte dos próprios bancos. O denominador comum é sempre o mesmo — explorar um recurso legítimo (perfil de trabalho, biometria, atendimento humano) de um jeito que o sistema de defesa original nunca previu.

O que fazer se você suspeitar que já caiu no golpe

O primeiro passo, antes de qualquer outra coisa, é isolar o aparelho: colocar em modo avião ou desligar o Wi-Fi e os dados móveis para cortar a comunicação do malware com o servidor do operador. Depois disso, contate o banco por um canal oficial — nunca pelo número que apareceu numa notificação suspeita — e peça o bloqueio temporário da conta e dos cartões vinculados. Trocar a senha do banco a partir de outro dispositivo limpo e reativar a autenticação de dois fatores do zero fecha a maior parte das portas que o trojan deixou abertas.

Depois de conter o estrago imediato, vale fazer uma faxina completa no aparelho: um antivírus confiável consegue identificar e remover a maior parte das variantes conhecidas do Gigabud, mas em casos de infecção mais profunda a recomendação mais segura continua sendo um reset de fábrica. Se o celular é Android, vale revisar se o antivírus gratuito que você usa hoje realmente cobre esse tipo de ameaça, porque nem toda solução gratuita tem o mesmo nível de detecção comportamental que esse tipo de trojan exige.

O que equipes de segurança dentro dos bancos estão fazendo

Do lado de dentro das instituições financeiras, a resposta a esse tipo de ameaça normalmente não é só um patch pontual — é uma mudança de abordagem. Bancos mais maduros já monitoram sinais indiretos de perfil de trabalho ativo durante uma sessão do app, bloqueiam a tela do próprio aplicativo quando detectam um serviço de Acessibilidade de terceiros rodando ao mesmo tempo, e aplicam biometria comportamental — analisando o jeito como a pessoa normalmente digita e toca na tela — para suspeitar de uma sessão mesmo quando a senha e o PIN estão corretos. Times de segurança antifraude já incluíram o trojan bancário Gigabud nas listas de assinaturas monitoradas.

Esse tipo de defesa em camadas é também o que separa um incidente contido de uma fraude em massa. Nenhuma dessas medidas sozinha garante proteção total, mas a combinação de várias barreiras pequenas costuma custar caro demais para o operador do malware tentar contornar todas ao mesmo tempo — o que, na prática, é o objetivo real de qualquer estratégia de segurança madura: não eliminar o risco, e sim tornar o ataque caro e lento o suficiente para que a maioria dos criminosos desista no meio do caminho.

Perguntas Frequentes

O Gigabud rouba dinheiro mesmo sem eu digitar a senha do banco? Sim. Como ele tem acesso de operador remoto via permissão de Acessibilidade, consegue ver a tela e simular toques — ou seja, pode operar o app bancário diretamente, sem precisar capturar sua senha digitada.

Antivírus de celular detecta o Gigabud? Soluções atualizadas com detecção comportamental conseguem identificar boa parte das variantes, mas como o malware evolui rápido, nenhuma proteção é 100% garantida — por isso os cuidados de instalação (só loja oficial, checar permissões) continuam sendo a primeira linha de defesa.

Por que o perfil de trabalho do Android é usado nesse golpe? Porque o Android isola o que roda dentro de um perfil de trabalho do resto do sistema, por design — pensado originalmente para separar dados corporativos de dados pessoais. O Gigabud abusa dessa separação para escapar de verificações de segurança que olham só o perfil “principal” do aparelho.

Só o Brasil está na mira desse trojan? Não. Amostras do Gigabud já foram identificadas em mais de dez países, principalmente na Ásia e agora na América Latina, o que sugere uma expansão deliberada dos operadores para novos mercados com alto volume de transações bancárias móveis.

Conclusão

O trojan bancário gigabud mostra como golpes financeiros continuam evoluindo em sofisticação, usando recursos legítimos do próprio sistema operacional — como perfis de trabalho — para escapar de defesas pensadas para outro tipo de ameaça. Com o Brasil já na lista de alvos identificados, vale reforçar hoje mesmo os cuidados básicos: verificar permissões concedidas, desconfiar de apps fora da loja oficial e manter tudo atualizado.

Fontes:

• The Hacker News – Gigabud Creates Android Work Profiles to Hide From Banking App Malware Checks