האפליקציה מציגה את עצמה כחברת תעופה לאומית, כרשות מסים או כפורטל ממשלתי, והיא לא מגיעה מחנות האפליקציות אלא מקישור שנשלח ברשת חברתית או באפליקציית הודעות. מיד אחרי ההתקנה היא מבקשת שלוש הרשאות: הרשאת נגישות, אישור לצייר חלונות מעל אפליקציות אחרות, והרשאה לרוץ ברקע. הראשונה היא זו שמכריעה.

מה קרה

חברת המודיעין Group-IB פרסמה ב-9 בספטמבר ניתוח של גרסה חדשה של Gigabud, סוס טרויאני בנקאי לאנדרואיד (נוזקה שמתחזה לאפליקציה תמימה כדי להגיע לאפליקציות הבנק שבמכשיר). החידוש הוא אפליקציה שנייה שמותקנת לצידה, בשם Vwork.

מה ש-Vwork עושה פשוט יותר ממה שהוא נשמע. אנדרואיד מאפשר לפצל את הטלפון לשני מרחבים: הצד האישי, ולידו מרחב נפרד שמיועד בדרך כלל לאפליקציות של מקום העבודה, עם אחסון והרשאות משל עצמו. מה שרץ במרחב אחד לא רואה את מה שיש בשני, וזה בדיוק נועד להגן על הפרטיות של העובד. Vwork, שנבנה על הקוד של Shelter, כלי חופשי שמשמש לפיצול כזה, יוצר את המרחב ושותל בתוכו עותק מעובד של אפליקציית הבנק.

אפליקציות בנקאיות מריצות בדיקה משל עצמן שמחפשת סימנים לנוזקה על המכשיר לפני שהן מאשרות פעולה. הבדיקה הזאת, כשהיא רצה מתוך מרחב העבודה, לא מגיעה לצד האישי שבו יושב Gigabud. התוצאה היא שהעברת כספים שמבוצעת מתוך העותק נראית לבנק כמו פעולה ממכשיר נקי.

הרשאת הנגישות מספקת את השאר. דרכה התוקף קורא את מה שמוקלד, מציג חלון שקוף מעל מסך הנעילה כדי לתעד את הקוד, ומריץ פעולות בעצמו בזמן שמסך שחור מכסה את מה שקורה על הטלפון. את Gigabud ואת Vwork מייחסת Group-IB לאותה קבוצה, שהיא מכנה GoldFactory.

למה זה חשוב לכם

Group-IB ספרה בין פברואר ליולי 2026 כ-1,469 מכשירים נגועים ו-1,281 חשבונות שייתכן שנחשפו, הכול באינדונזיה, עם הפסדים מוערכים של כ-960 אלף דולר. דגימות שמוכנות לעבוד מול Vwork כוונו ל-11 מדינות, בהן ברזיל, מקסיקו, מרוקו, תאילנד, טורקיה ומדינה אחת במפרץ. ישראל לא ברשימה, ושרשרת ההדבקה המלאה אומתה רק באינדונזיה.

מה שכן נוגע אליכם הוא השלב הראשון, שזהה כאן ושם: הודעה שמתחזה לרשות מסים או לחברה מוכרת, קישור להתקנה מחוץ לחנות, ובקשה להרשאת נגישות. זה אותו מסלול שרץ בישראל במסרונים על דוחות תנועה ועל חבילות שמחכות בדואר. הרשאת נגישות היא ההרשאה הרחבה ביותר שאפשר לתת לאפליקציה באנדרואיד, ומהרגע שנתתם אותה, הבדיקות של הבנק הן לא מה שיעצור את הפעולה.

מה עושים?

התקינו אפליקציות רק מ-Google Play או מחנות היצרן. אפליקציה של בנק, של רשות או של חברת תעופה שמגיעה כקובץ התקנה מתוך קישור היא כמעט תמיד מזויפת.

בדקו למי יש הרשאת נגישות: הגדרות, נגישות, ואחר כך גם הגדרות, אפליקציות, גישה מיוחדת. אם יש שם אפליקציה שאתם לא מזהים, בטלו לה את ההרשאה והסירו אותה.

בדקו אם נפתח בטלפון מרחב עבודה שאתם לא יצרתם. הוא מופיע כלשונית או כתיקייה נפרדת במסך האפליקציות, ואם אינכם מחברים את הטלפון למערכות של מקום עבודה, אין לו שם מה לעשות.

ודאו ש-Play Protect דולק: חנות Play, תמונת הפרופיל, Play Protect. ואם המסך נדלק לבד או מוצג מסך שחור בלי סיבה, בדקו את תנועות החשבון באתר הבנק ממכשיר אחר.

מרחב העבודה באנדרואיד נבנה כדי שמקום העבודה לא יראה את התמונות שלכם. אותו קיר בדיוק עובד גם בכיוון ההפוך.