Gigabud, 은행 앱 보안 검사 회피 위해 안드로이드 직장 프로필 악용

Gigabud 뱅킹 트로이목마가 감염된 휴대폰에 두 번째 안드로이드 앱을 설치해 직장 프로필(work profile)을 생성하고, 그 안에 변조된 은행 앱을 심는 방식으로 진화했다고 보안 기업 Group-IB가 9월 9일 발표한 보고서에서 밝혔다.

직장 프로필은 안드로이드가 기업용 앱을 위해 별도로 마련한 격리 공간으로, 내부 데이터는 개인 영역과 완전히 분리된다. Group-IB는 이 분리 구조 덕분에 트로이목마가 은행 앱 자체의 악성코드 검사를 피할 수 있으며, 결제 사기가 이미 발생한 경보와 무관한 것처럼 보일 수 있다고 설명했다. 인도네시아의 감염 기기에서 전체 공격 체인이 실제로 확인됐다.

안드로이드 플랫폼 공식 문서에 따르면, 기기의 메인 프로필에 있는 모든 앱이 직장 프로필 설정을 시작할 수 있으며, 사용자에게는 프로필 생성 전 용도 안내가 제공된다.

Group-IB는 은행 앱에는 알려진 악성코드를 탐지하는 보안 코드가 내장되어 있지만, 직장 프로필 내부에서는 해당 스캔이 트로이목마가 위치한 개인 영역에 접근하지 못한다고 밝혔다.

Gigabud는 원격 접근 트로이목마(RAT), 즉 운영자에게 휴대폰에 대한 실시간 제어권을 넘겨주는 악성 코드다. 2022년부터 활동 중이며, Group-IB는 이를 GoldFactory라 부르는 그룹과 연결 지었다. 이 그룹은 항공사, 세무청, 정부 포털로 위장한 가짜 앱 형태로 공식 스토어 외부에서 설치를 유도한다.

최초 실행 시 접근성(Accessibility) 권한, 다른 앱 위에 그리기 권한, 백그라운드 실행 유지 권한을 요청한다. 접근성 권한을 허용하는 순간이 운영자가 기기를 실질적으로 제어하게 되는 시점이다.

이후 기기에 설치된 모든 앱 목록을 운영자에게 전송해 은행 앱 대상을 특정한다. 피해자가 실제 은행 앱을 열면 가짜 로그인 화면이 위에 겹쳐 나타나 입력 내용을 탈취한다. 사용자에게는 보이지 않는 두 번째 오버레이가 화면 잠금 코드도 빼돌린다.

Group-IB는 운영자가 접근성 기능을 통해 탭과 입력으로 피해자 기기에서 거래를 실행하는 동안, 검은 화면이 그 과정을 가린다고 밝혔다.

이 두 번째 앱의 이름은 Vwork다. Group-IB는 Vwork의 아키텍처와 클래스 이름이 같은 직장 프로필 기능을 활용해 앱 격리 또는 복제를 지원하는 오픈소스 도구 Shelter와 일치한다고 설명했다.

차이는 제어 주체에 있다. Shelter는 기기를 직접 쥐고 있는 사람이 수동으로 조작한다. Vwork는 같은 기능을 다른 앱에도 열어준다: 직장 프로필 생성, 그 안에 앱 복제, 프로필 내 앱 목록 조회, 프로필 내 앱 실행 등이다.

Group-IB는 다른 앱이 해당 기능을 호출하지 못하도록 막던 검사가 제거되어 기기의 모든 앱이 Vwork를 구동할 수 있다고 밝혔다. Vwork는 앱을 복제하기 전에 외부 서버에 허가를 요청하며, Gigabud에는 Vwork 전용으로 작성된 명령어가 탑재되어 있다.

Shelter는 프로필 생성 전 여러 화면을 사용자에게 안내한다. Group-IB에 따르면 Vwork는 이를 중국어로 작성된 단일 확인 창으로 단축했다.

Group-IB는 인도네시아 기기에서 Gigabud 먼저, 수 분 내 Vwork, 그다음 변조된 은행 앱 순으로 설치가 이루어졌다고 밝혔다.

보고서에서 상세히 기술된 한 사례에서, 프로필에 심어진 앱은 피해자 본인의 은행 앱 복제본이 아니었다. Group-IB는 "해당 복제본은 인도네시아 실제 은행 앱의 가짜 버전이었다"고 밝혔다.

Group-IB는 Vwork 샘플 하나를 분석했으며 현재도 활발히 개발 중인 것으로 평가했다. 추가된 일부 기능은 불안정하며, 오픈소스 버전에 가까운 안드로이드 빌드에서 의도한 대로 작동하지 않는다. 보고서는 해당 기법이 실제로 동작하는 기기 또는 안드로이드 버전을 특정하지 않았다.

Vwork와 연동되도록 제작된 Gigabud 샘플은 브라질, 콜롬비아, 이집트, 인도네시아, 라오스, 멕시코, 모로코, 필리핀, 태국, 튀르키예, 그리고 Group-IB가 이름을 밝히지 않은 걸프협력회의(GCC) 소속 국가 1곳을 겨냥한 것으로 확인됐다. 이는 샘플 기준이며, 감염 확인이 이루어진 곳은 인도네시아뿐이다.

2026년 2월부터 7월까지 Group-IB는 인도네시아에서 약 1,469개의 감염 기기와 1,281건의 로그인 탈취 의심 사례를 확인했으며, 추정 피해액은 약 96만 달러에 달한다. 이 수치는 Group-IB가 직접 관측한 범위에 한정되며, 전체 피해 규모를 나타내지 않는다고 밝혔다. Vwork가 설치된 기기 수는 공개하지 않았다.

Group-IB는 두 도구 모두 GoldFactory와 연결 지었다. 근거로는 Vwork 코드의 특정 브랜치에 Gigabud 패키지 이름이 참조되어 있다는 점, 두 도구가 공유하는 네트워크 지표, 중국어로 작성된 개발자 로그를 들었으며, 해당 지표는 공개할 수 없다고 밝혔다.

직장 프로필 존재 여부 확인 방법

직장 프로필은 기기 설정에서 확인할 수 있다. Google의 안드로이드 사용자 가이드에 확인 및 삭제 방법이 안내되어 있다.

• 설정 열기 → 비밀번호 및 계정으로 이동. 직장 프로필이 있는 경우 'Work' 탭이 표시됨.
• 직장 프로필 내 앱은 아이콘에 작은 서류 가방 배지가 표시됨.
• 삭제하려면 Work 탭 선택 → 직장 프로필 제거 → 삭제. Google에 따르면 프로필 내 저장된 모든 데이터가 삭제됨.
• 프로필을 설치한 앱도 함께 삭제되었는지 확인. Group-IB는 Vwork가 앱 런처에서 아이콘을 숨기지만, 파일 관리자에서는 확인된다고 밝혔다.

Google의 안내는 기기 소유자가 직접 삭제하는 경우를 전제로 하며, 고용주가 소유한 프로필은 사용자가 삭제할 수 없다. Group-IB 보고서는 개인 영역에 Gigabud가 여전히 설치된 상태에서 프로필만 삭제했을 때 위험이 완전히 해소되는지는 언급하지 않았다.

Group-IB가 사용자에게 권고하는 사항은 공식 스토어에서만 앱을 설치할 것, 접근성 도구가 아닌 앱의 접근성 권한 요청은 거부할 것, 은행 앱의 2단계 인증에 SMS를 사용하지 말 것이다.

은행을 위해 제시한 탐지 징후는 특정 악성코드 파일이 아닌 기기의 행동 패턴을 기준으로 한다: 아무도 설정하지 않은 직장 프로필이 일반 소비자 기기에 생성된 경우, 동일한 은행 앱이 두 프로필 모두에 설치 흔적을 남긴 경우, 일반적인 앱이 전혀 없는 프로필, 그리고 사용 이유가 없는 앱에 접근성이 활성화된 경우 등이다.

Vwork는 Group-IB가 2025년 12월에 발표한 동남아시아 GoldFactory 변조 은행 앱 캠페인 관련 선행 연구에서 처음 발견됐다. Group-IB는 Vwork가 해당 캠페인에서만 실제 활용이 확인됐다고 밝혔다.

은행 앱을 컨테이너에 격리해 보안 탐지를 우회하는 기법이 새로운 것은 아니다. Promon은 2023년 FjordPhantom을 공개한 바 있는데, 이는 실제 은행 앱을 가상 컨테이너 안에서 실행해 내부에서 앱 동작을 변조하는 방식이었다. 앱 간 경계를 허무는 방식으로 작동했다. Vwork는 이와 거의 반대 방향으로, 안드로이드가 이미 제공하는 경계를 이용해 트로이목마를 탐지 범위 밖에 두는 방식이다.