Investigadores da Group-IB descreveram uma técnica de evasão pouco comum em fraude bancária móvel: em vez de imitar o ecrã de login da aplicação do banco, os operadores do trojan Android Gigabud passaram a criar um perfil de trabalho isolado no telemóvel da vítima e a colocar lá dentro uma cópia da aplicação bancária. Segundo a investigação publicada a 9 de setembro, o Gigabud está a ser usado em conjunto com o Vwork, um fork «militarizado» da aplicação de clonagem de código aberto Shelter, sendo ambos atribuídos ao grupo GoldFactory. O resultado é uma sessão bancária que corre num compartimento aparentemente limpo do mesmo dispositivo, fora do alcance das verificações de segurança que o banco executa no perfil pessoal.
Resposta rápida: O trojan Android Gigabud instala um segundo componente, o Vwork, que abusa da funcionalidade legítima «perfil de trabalho» para clonar aplicações bancárias num espaço isolado e esconder o malware das verificações antifraude. A cadeia completa só foi confirmada na Indonésia, mas foram identificadas amostras preparadas para 11 países. Verifique em Definições > Palavras-passe e contas se existe um separador «Trabalho» que não reconhece, instale aplicações apenas em lojas oficiais e nunca conceda acesso à Acessibilidade a aplicações que não sejam ferramentas de acessibilidade.
O que é o Gigabud e o que muda com o Vwork
O Gigabud é um trojan de acesso remoto para Android ativo desde 2022, atribuído pela Group-IB ao grupo GoldFactory, com vítimas no Sudeste Asiático, Sul da Ásia, Médio Oriente, África e América Latina. A isca varia conforme a região, fazendo-se passar por companhias aéreas nacionais, autoridades fiscais ou portais governamentais; uma vez instalado e com permissões concedidas, dá ao operador controlo remoto em tempo real do telemóvel.
A novidade está no acessório. O Vwork é um fork da aplicação de clonagem de código aberto Shelter — ambos usam a funcionalidade de perfil de trabalho do Android para criar um espaço de aplicações isolado —, mas, enquanto o Shelter se destina a ser operado manualmente pelo dono do dispositivo, o Vwork expõe os controlos como uma API que permite a aplicações de terceiros executar a clonagem e a gestão de aplicações. O Vwork não tem função própria de comunicação com o servidor de comando e controlo, pelo que depende de uma aplicação externa instalada no mesmo dispositivo. As amostras de Gigabud analisadas traziam código dedicado, incluindo três novos comandos para aprovisionar o perfil, clonar uma aplicação indicada e reportar o que foi clonado, sendo que a clonagem exige um token obtido junto de um servidor de autorização externo que o Gigabud vai buscar.
Cronologia observada numa infeção
| Fase | O que acontece |
|---|---|
| 1. Chegada | Sites de phishing, aplicações de mensagens e publicações em redes sociais distribuem aplicações falsas que imitam companhias aéreas, autoridades fiscais, serviços do Estado ou outras marcas de confiança. |
| 2. Permissões | Após a instalação, o Gigabud pede Acessibilidade, sobreposição de ecrã e isenção de otimização de bateria; se a Acessibilidade for concedida, os atacantes passam a ver, tocar, escrever e controlar o dispositivo remotamente. |
| 3. Reconhecimento e roubo | O trojan envia ao operador a lista das aplicações instaladas para identificar alvos bancários; quando a vítima abre a aplicação real do banco, surge por cima um ecrã de login falso que captura o que é escrito, e uma segunda sobreposição invisível recolhe o código de bloqueio do ecrã. |
| 4. Clonagem | Nos dispositivos indonésios, a Group-IB observou a sequência: primeiro o Gigabud, o Vwork poucos minutos depois e, a seguir, a aplicação bancária adulterada. |
| 5. Fraude | O Gigabud usa o Vwork para criar o perfil de trabalho e clonar para lá a aplicação bancária, após o que «o operador realiza transações diretamente no telemóvel da vítima enquanto um ecrã preto esconde o que está a acontecer». |
Porque é que isto contorna as defesas antifraude
Muitas aplicações bancárias incorporam SDK de segurança que procuram sinais de comprometimento no dispositivo. De acordo com a Group-IB, executar a aplicação dentro do perfil de trabalho esconde o Gigabud, que permanece no perfil pessoal, da deteção por assinatura feita pelo SDK de segurança da aplicação. A empresa nota que a análise feita a partir de dentro de um perfil de trabalho não alcança o espaço pessoal onde o trojan está instalado. Por outras palavras, o mecanismo de isolamento que o Android oferece às empresas — e que é parte da sua proposta de privacidade — é usado ao contrário: para separar a transação fraudulenta dos alertas já levantados no telemóvel.
Convém, ainda assim, dimensionar o fenómeno com rigor. A cadeia de infeção completa só foi confirmada em dispositivos na Indonésia, tendo sido encontradas amostras de Gigabud preparadas para funcionar com o Vwork dirigidas a 11 países. Esses países são o Brasil, a Colômbia, o Egito, a Indonésia, o Laos, o México, Marrocos, as Filipinas, a Tailândia, a Turquia e um Estado membro do Conselho de Cooperação do Golfo. Portugal não consta desta lista. Só na Indonésia, entre fevereiro e julho de 2026, foram observados cerca de 1469 dispositivos comprometidos e 1281 credenciais potencialmente comprometidas, com uma perda estimada em cerca de 960 939 dólares — números que refletem atividade observada e devem ser considerados indicativos, e não representativos do impacto total na região. A Group-IB analisou uma única amostra de Vwork e descreveu-a como ainda em desenvolvimento ativo, com algumas funções instáveis.
Do FjordPhantom ao GodFather: uma tendência, não um acidente
Colocar uma aplicação bancária dentro de um contentor para contornar as suas defesas não é uma ideia nova. A Promon descreveu em 2023 o FjordPhantom, que corria uma aplicação bancária real dentro de um contentor virtual para alterar o seu comportamento a partir de dentro, quebrando a barreira que o Android coloca entre aplicações; o Vwork faz quase o inverso, usando uma barreira que o próprio Android já fornece. Em 2025, a Zimperium zLabs documentou um salto semelhante noutro trojan: o GodFather passou a recorrer a virtualização no dispositivo, criando um ambiente virtual isolado através da instalação de uma aplicação «anfitriã» com uma framework de virtualização. Essa campanha visava 12 bancos turcos e analisava perto de 500 aplicações a nível global. A linha comum é clara: os atacantes estão a deixar as sobreposições clássicas para trás e a apostar em isolamento e clonagem.
Como verificar o seu telemóvel e o que fazer
Ao contrário de muitas técnicas furtivas, esta deixa um rasto visível no equipamento. O perfil de trabalho aparece nas definições do telemóvel: em Definições e depois Palavras-passe e contas surge um separador «Trabalho» se o telemóvel tiver um perfil de trabalho, e as aplicações dentro dele exibem um pequeno crachá em forma de pasta; para eliminar, abre-se o separador «Trabalho», escolhe-se remover o perfil e confirma-se, o que segundo a Google apaga tudo o que está armazenado lá dentro. Convém depois confirmar que a aplicação que criou o perfil também desapareceu — a Group-IB refere que o Vwork mantém o ícone fora do menu de aplicações, embora continue visível num gestor de ficheiros. O relatório não esclarece se apagar o perfil elimina o risco enquanto o Gigabud continuar instalado no espaço pessoal, pelo que, em caso de suspeita, o mais seguro é contactar o banco e ponderar uma reposição de fábrica.
As recomendações da Group-IB aos utilizadores são instalar aplicações apenas a partir de lojas oficiais, recusar acesso à Acessibilidade a qualquer aplicação que não seja uma ferramenta de acessibilidade e usar um segundo fator para as aplicações bancárias que não dependa de SMS. Para quem defende o lado da instituição financeira, a leitura é outra:
- A deteção deve centrar-se em comportamento e não numa assinatura de malware isolada, incluindo a criação inesperada de perfis de trabalho em dispositivos de consumidores.
- Tratar a presença de um perfil gerido num equipamento pessoal como sinal de risco a correlacionar com a sessão bancária, e não como contexto neutro.
- Reforçar a autenticação forte fora de banda para operações de pagamento, sobretudo quando o dispositivo já apresentou indícios de sobreposição de ecrã ou de abuso de Acessibilidade.
- Nas organizações que usam MDM, monitorizar o aprovisionamento de perfis de trabalho não originados pela consola de gestão.
Porque é que isto importa em Portugal
Mesmo sem alvos portugueses confirmados, há três razões para acompanhar o caso. A primeira é técnica: as técnicas de fraude móvel viajam depressa entre campanhas e famílias de malware, e o abuso de funcionalidades legítimas do sistema operativo é difícil de bloquear sem afetar utilizações válidas. A segunda é de perímetro empresarial: cada vez mais colaboradores de PME usam o telemóvel pessoal para autenticação multifator e aprovação de pagamentos, o que transforma um equipamento doméstico comprometido num risco operacional da organização — um cenário que o Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2) obriga a endereçar através de gestão de risco, higiene informática e controlo de acessos nas entidades abrangidas, incluindo o setor bancário e as infraestruturas digitais.
A terceira é jurídica. Um dispositivo tomado por um trojan de acesso remoto expõe credenciais, códigos de desbloqueio e dados de contas — tratamento não autorizado de dados pessoais que, num contexto empresarial, pode originar obrigações de notificação ao abrigo do RGPD e comunicação à CNPD. Em Portugal, incidentes desta natureza podem ser reportados ao CERT.PT, do CNCS, sendo de recordar que o reporte pode ser feito através do endereço [email protected] ou da plataforma MyCiber. O CNCS tem, aliás, dedicado atenção a ameaças em Android distribuídas fora das lojas oficiais: no alerta sobre o BadBox 2.0, o CERT.PT estimou que poderiam existir mais de 80 000 dispositivos comprometidos com esta tipologia de malware no ciberespaço nacional. Para cidadãos e PME, a mensagem prática mantém-se simples: aplicações só de lojas oficiais, desconfiança total perante pedidos de Acessibilidade, e atenção a perfis ou ícones que aparecem sem explicação.
Perguntas frequentes
O Gigabud afeta utilizadores em Portugal?
Não há confirmação disso. A Group-IB confirmou a cadeia de infeção completa apenas em dispositivos na Indonésia e identificou amostras compatíveis com o Vwork dirigidas a 11 países, entre os quais Portugal não se encontra. Ainda assim, a técnica é replicável e merece atenção preventiva.
Como sei se o meu Android tem um perfil de trabalho indesejado?
Em Definições e depois Palavras-passe e contas aparece um separador «Trabalho» caso exista um perfil de trabalho, e as aplicações dentro dele mostram um pequeno crachá em forma de pasta no ícone. Se nunca configurou um perfil profissional nem o seu empregador o fez, trate isso como suspeito.
Apagar o perfil de trabalho resolve o problema?
Remover o perfil apaga, segundo a Google, tudo o que estiver armazenado dentro dele, mas o relatório da Group-IB não indica se essa remoção elimina o risco enquanto o Gigabud continuar instalado no espaço pessoal. Deve também confirmar-se que a aplicação que criou o perfil foi desinstalada.
Que medidas reduzem mais o risco no dia a dia?
A Group-IB aconselha instalar aplicações apenas de lojas oficiais, recusar acesso à Acessibilidade a aplicações que não sejam ferramentas de acessibilidade e utilizar um segundo fator de autenticação bancária que não dependa de SMS. Manter o Android atualizado e o Play Protect ativo completa o essencial.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Group-IB, pela Zimperium zLabs, pela Promon, pela Google e pelo CNCS/CERT.PT.