資安公司 Group-IB 近期發布的一份研究報告揭露，名為 Gigabud 的銀行木馬（Banking Trojan）演進出了一種極具威脅的隱匿手段。該木馬不再僅僅依賴傳統的程式碼混淆，而是利用 Android 系統原生的工作設定檔（Work Profile）功能，將惡意程式與受害者的銀行應用程式物理隔離，從而成功繞過銀行 App 內建的安全掃描機制。
背景與核心威脅
Gigabud 是一種遠端存取木馬（RAT, Remote Access Trojan），允許攻擊者在遠端完全控制受害者的行動裝置。這類木馬通常透過偽裝成官方應用程式（如國家航空公司、稅務機關或政府入口網站）誘導使用者從非官方商店下載安裝。
一旦安裝，Gigabud 會要求使用者授予「輔助功能」（Accessibility Service）權限。這是 Android 系統中極為強大的權限，原意是為了幫助身心障礙者操作手機，但被木馬利用後，攻擊者可以模擬點擊、讀取螢幕內容並在背景執行操作。此外，它還會請求「在其他應用程式之上顯示」以及「省電模式背景執行」權限，確保其能隨時在使用者不知情的情況下掌控手機。
利用工作設定檔實現隱匿
Android 的工作設定檔原本是為了讓使用者將「工作」與「個人生活」分開，在手機中創建一個獨立的隔離空間。正常情況下，工作設定檔內的應用程式與個人空間的資料互不干涉。
Gigabud 的攻擊鏈引入了一個名為 Vwork 的第二個應用程式。Vwork 的設計參考了開源工具 Shelter（一個讓使用者自行隔離 App 的工具），但 Vwork 移除了所有使用者確認機制，使其能被 Gigabud 遠端驅動。運作流程如下：首先安裝 Gigabud，接著安裝 Vwork 並自動創建一個工作設定檔，最後在該設定檔中植入一個經過篡改的偽造銀行 App。
這種結構創造了一個安全死角。大多數銀行 App 為了防禦木馬，會掃描手機中的可疑程式。然而，當銀行 App 運行在工作設定檔中時，其掃描範圍僅限於該隔離空間，無法跨越邊界去偵測位於「個人空間」中的 Gigabud 木馬。這導致銀行 App 認為環境安全，而木馬則在後方安然無恙地監控所有操作。
攻擊執行與財務損失
當受害者開啟銀行 App 時，Gigabud 會利用輔助功能權限在螢幕上覆蓋一個偽造的登入介面（Overlay），攔截使用者的帳號密碼。隨後，它會啟動另一個不可見的覆蓋層來竊取手機的鎖屏密碼。
在獲取所有憑據後，攻擊者會利用輔助功能直接在手機上執行轉帳操作。為了防止使用者發現，木馬會將螢幕顯示為黑色，讓受害者在完全不知情的情況下被盜刷。
根據 Group-IB 在印尼的觀察，這種攻擊鏈已造成顯著損失。在 2026 年 2 月至 7 月間，約有 1,469 台設備受害，涉及 1,281 個可能的登入帳號，估計損失金額達 96 萬美元。此外，研究人員在巴西、哥倫比亞、埃及、菲律賓、泰國等多國的樣本中也發現了針對 Vwork 的指令，顯示該威脅具有全球擴散趨勢。
實務意義與防禦限制
這類攻擊方式的危險之處在於它將「系統功能」轉化為「攻擊武器」。與以往試圖突破 Android 系統沙箱（Sandbox）的虛擬容器技術（如 FjordPhantom）不同，Vwork 是直接利用 Android 官方提供的隔離牆來保護木馬，而非突破它。
對於一般使用者而言，檢查手機是否被植入工作設定檔是關鍵。在 Android 設定的「密碼與帳號」中，若出現「工作」分頁且使用者並未主動設定，則極有可能是中毒徵兆。此外，工作設定檔中的 App 圖標通常會帶有一個小 briefcase（公事包）標記。
然而，單純刪除工作設定檔可能不足以根除威脅，因為核心的 Gigabud 木馬依然潛伏在個人空間中。Group-IB 建議使用者應僅從官方商店下載 App，嚴格限制非必要 App 的輔助功能權限，並針對銀行帳戶採用不依賴簡訊（SMS）的第二因子驗證（2FA）。
對於金融機構而言，偵測重點應從「掃描惡意檔案」轉向「行為分析」。例如，監控普通消費級手機是否異常出現工作設定檔，或同一台設備在不同設定檔中同時安裝相同的銀行 App，這些異常特徵將比傳統的病毒碼掃描更有效。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。