Gigabud + Vwork: มัลแวร์ธนาคารซ่อนใน Android work profile — ไทยอยู่ในรายชื่อเป้าหมาย

ถ้าคุณใช้แอปธนาคารบน Android ข่าววันที่ 10 ก.ย. 2026 นี้ใกล้ตัวมากครับ — โดยเฉพาะคนไทย เพราะชื่อประเทศเราอยู่ในรายชื่อเป้าหมายของแซมเปิล

The Hacker News สรุปงานของบริษัทความปลอดภัย Group-IB ว่ามัลแวร์ชื่อ Gigabud (ตระกูล banking trojan / RAT ที่ควบคุมมือถือได้) เริ่มติดตั้งแอปที่สองชื่อ Vwork เพื่อสร้าง Android work profile (พื้นที่งานแยกจากโปรไฟล์ส่วนตัว) แล้วโยนแอปธนาคารปลอมเข้าไปข้างใน

ทำไม work profile ถึงช่วยซ่อนตัว

แอปธนาคารหลายตัวมีโค้ดสแกนหา มัลแวร์ที่รู้จักบนเครื่อง แต่สแกนนั้นมองไม่ทะลุไปยังพื้นที่ส่วนตัว ถ้าตัวมัลแวร์อยู่คนละโปรไฟล์กับแอปธนาคารใน work profile

แปลสั้น ๆ: เครื่องอาจมีสัญญาณผิดปกติในโปรไฟล์ส่วนตัว แต่ธุรกรรมปลอมใน work profile ดูเหมือน “คนละเรื่อง”

Group-IB ยืนยันสายการติดเชื้อเต็มรูปแบบบนอุปกรณ์ใน อินโดนีเซีย เท่านั้น ส่วนแซมเปิลที่ออกแบบมาให้ทำงานกับ Vwork พบว่าเล็งไปหลายประเทศ รวมถึง ไทย, ลาว, ฟิลิปปินส์, อียิปต์, บราซิล ฯลฯ — นั่นคือแซมเปิล ไม่ใช่สถิติการติดเชื้อที่ยืนยันแล้วทุกประเทศ

เข้าเครื่องยังไง (ภาพรวมฝั่งป้องกัน)

Gigabud ถูกโยงกับกลุ่มที่ Group-IB เรียกว่า GoldFactory มักมาในรูปแอปปลอม (สายการบิน / ภาษี / พอร์ทัลรัฐ) ที่ติดตั้งนอกสโตร์ทางการ

พอเปิดครั้งแรก มันขอสิทธิ์หนัก ๆ เช่น Accessibility (สิทธิ์ช่วยเหลือการเข้าถึง), วาดทับแอปอื่น และทำงานพื้นหลัง “เพื่อประหยัดแบต” — จุดที่ให้ Accessibility คือจุดที่ผู้โจมตีเริ่มควบคุมเครื่องได้จริง

จากนั้นมันส่งรายชื่อแอปบนเครื่องไปให้ผู้ควบคุม เมื่อคุณเปิดแอปธนาคารจริง อาจเจอหน้าล็อกอินปลอมทับด้านบน และมีเลเยอร์ที่เก็บรหัสล็อกหน้าจอ

ผมไม่ลงขั้นตอนโจมตีหรือ PoC ในบทความนี้ มีแต่สิ่งที่เช็กและกันได้

Vwork คืออะไร

Vwork ใช้แนวคิดคล้ายเครื่องมือโอเพนซอร์ส Shelter ที่สร้าง work profile เพื่อแยกแอป แต่คนคุมไม่ใช่เจ้าของเครื่อง — แอปอื่นบนเครื่องสั่ง Vwork ให้สร้างโปรไฟล์ โคลนแอป เปิดแอปในโปรไฟล์ได้

Group-IB บอกว่าก่อนโคลนอะไร Vwork ถามเซิร์ฟเวอร์ภายนอกก่อน และอินเทอร์เฟซย่อเหลือพรอมต์เดียว (ภาษาจีน) ซึ่งสั้นกว่า Shelter มาก

บนเคสอินโดนีเซียที่รายงานละเอียด: ติดตั้ง Gigabud ก่อน → Vwork ตามมาในไม่กี่นาที → แล้วค่อยใส่แอปธนาคารปลอมในโปรไฟล์ (ไม่ใช่แค่โคลนของจริงเสมอไป)

ช่วง ก.พ.–ก.ค. 2026 Group-IB นับจากการสังเกตของตัวเองในอินโดนีเซียประมาณ 1,469 เครื่องที่ถูกCompromise และประมาณ 1,281 ล็อกอินที่อาจรั่ว พร้อมประมาณการเสียหายราว 960,000 ดอลลาร์ — เป็นตัวเลขที่พวกเขามองเห็น ไม่ใช่ทั้งประเทศ และไม่ได้ระบุว่ามี Vwork กี่เครื่อง

Recap

• ติดตั้งแอปจากสโตร์ทางการเท่านั้น อย่ากด APK จากลิงก์แชท / โฆษณา
• ปฏิเสธ Accessibility กับแอปที่ไม่ใช่เครื่องมือช่วยเหลือการเข้าถึงจริง ๆ
• ใช้ 2FA ของแอปธนาคารที่ไม่พึ่ง SMS ถ้ามีให้เลือก
• เปิด Settings → Passwords and accounts ดูแท็บ Work; ไอคอนใน work profile มักมีตรา briefcase
• ถ้าไม่ได้ตั้งโปรไฟล์งานเอง: ลบ Work profile ตามคู่มือ Google แล้วตรวจว่าแอปที่สร้างมันหายไป (Vwork อาจซ่อนไอคอนใน launcher แต่ยังเห็นในไฟล์매니เจอร์)
• ถ้าสงสัยโดน: เปลี่ยนรหัสธนาคารจากเครื่องอื่นที่ปลอดภัย แล้วติดต่อธนาคาร