नई दिल्ली। Android उपकरणों पर बैंकिंग धोखाधड़ी का तरीका लगातार अधिक जटिल होता जा रहा है। साइबर अपराधियों ने कथित तौर पर ऐसा तरीका अपनाया है, जिसमें असली बैंकिंग ऐप की प्रतिकृति बनाकर उसे फोन के एक छिपे हुए Work Profile में चलाया जाता है। इससे बैंकिंग गतिविधि उस मूल प्रोफाइल से अलग दिखाई दे सकती है, जिस पर पहले से सुरक्षा चेतावनी या मैलवेयर का पता चला हो। साइबर सुरक्षा शोधकर्ताओं के अनुसार, इस अभियान में Gigabud नाम के Android Remote Access Trojan (RAT) और Vwork नाम के ऐप क्लोनिंग उपकरण का इस्तेमाल किया जा रहा है।
साइबर सुरक्षा शोधकर्ताओं के मुताबिक, Gigabud कम से कम 2022 से सक्रिय है। हमलावर पीड़ितों को फिशिंग वेबसाइटों, मैसेजिंग ऐप और सोशल मीडिया पोस्ट के जरिए नकली एप्लिकेशन डाउनलोड करने के लिए प्रेरित करते हैं। ये ऐप एयरलाइन, कर विभाग या सरकारी सेवाओं से जुड़े होने का दावा कर सकते हैं। कुछ मामलों में बैंकिंग ऐप के नाम और रूप का इस्तेमाल करके भी उपयोगकर्ताओं को फंसाने की कोशिश की जाती है।
FCRF Launches India-Focused BFSI Compliance Certification for Emerging Governance Professionals
शोधकर्ताओं के अनुसार, संक्रमित फोन में Gigabud को Accessibility की अनुमति, दूसरे ऐप के ऊपर दिखाई देने की अनुमति और बैटरी बचत प्रतिबंधों से छूट की जरूरत होती है। इन अनुमतियों के बाद हमलावर डिवाइस को दूर से नियंत्रित करने, इंस्टॉल किए गए ऐप की सूची देखने, वास्तविक बैंकिंग ऐप के ऊपर नकली लॉगिन स्क्रीन दिखाने और लॉक स्क्रीन का कोड हासिल करने जैसी गतिविधियां कर सकते हैं।
Work Profile में बैंकिंग ऐप की दूसरी प्रति
इस हमले की सबसे महत्वपूर्ण कड़ी Vwork बताई गई है। यह खुले स्रोत वाले Shelter ऐप के संशोधित संस्करण के रूप में सामने आया है। संक्रमण के कुछ ही समय बाद Vwork और बदले हुए बैंकिंग ऐप दिखाई देने की बात कही गई है।
Vwork Android के अलग Work Profile में बैंकिंग ऐप की प्रतिकृति तैयार करता है। जांचकर्ताओं ने इंडोनेशिया के एक मामले में बैंकिंग ऐप का नकली संस्करण इस अलग प्रोफाइल में चलते हुए पाया। Android में अलग-अलग प्रोफाइल के ऐप और डेटा को अलग रखने की व्यवस्था होती है। यही सुविधा अब कथित तौर पर हमलावरों के लिए सुरक्षा जांच को कमजोर करने का माध्यम बन रही है।
यदि फोन के व्यक्तिगत प्रोफाइल में पहले से मैलवेयर या जोखिम का संकेत मौजूद है, तो वही सुरक्षा संकेत नए Work Profile में मौजूद क्लोन ऐप से सीधे जुड़ा हुआ नहीं हो सकता। ऐसे में हमलावर अलग प्रोफाइल के जरिए बैंकिंग लेनदेन करने की कोशिश कर सकते हैं। Vwork का आइकन छिपाया जा सकता है और क्लोनिंग प्रक्रिया को दूसरे ऐप से नियंत्रित किया जा सकता है।
इंडोनेशिया में करीब 1,469 उपकरण प्रभावित
शोधकर्ताओं के मुताबिक, फरवरी से जुलाई 2026 के बीच इंडोनेशिया में लगभग 1,469 संक्रमित उपकरण और 1,281 संभावित रूप से प्रभावित लॉगिन देखे गए। इन मामलों से अनुमानित नुकसान करीब ₹8.2 करोड़ बताया गया है। शोधकर्ताओं ने स्पष्ट किया है कि ये आंकड़े केवल देखी गई गतिविधि को दर्शाते हैं और वास्तविक अभियान इससे बड़ा हो सकता है।
यह अभियान ब्राजील, कोलंबिया, मिस्र, इंडोनेशिया, लाओस, मैक्सिको, मोरक्को, फिलीपींस, थाईलैंड, तुर्किये और खाड़ी सहयोग परिषद के एक सदस्य देश को निशाना बनाने वाले नमूनों से भी जुड़ा पाया गया है। जांचकर्ताओं ने इसे GoldFactory से संबंधित गतिविधियों के साथ जोड़ा है।
उपयोगकर्ताओं और बैंकों के लिए चेतावनी
साइबर सुरक्षा विशेषज्ञों के अनुसार, फोन में अचानक नया Work Profile बनना, अलग-अलग प्रोफाइल में एक ही बैंकिंग ऐप की प्रतियां दिखाई देना या बिना स्पष्ट कारण के Accessibility अनुमति मांगना खतरे के संकेत हो सकते हैं। उपयोगकर्ताओं को ऐप केवल आधिकारिक स्टोर से डाउनलोड करने और अनजान ऐप को Accessibility जैसी संवेदनशील अनुमति नहीं देने की सलाह दी गई है। मैसेजिंग ऐप के जरिए भेजी गई कच्ची APK फाइल को बैंकिंग ऐप का वैध वितरण माध्यम नहीं माना जाना चाहिए।
बैंकों और डिजिटल भुगतान सेवा प्रदाताओं को केवल मैलवेयर के हस्ताक्षर पर निर्भर रहने के बजाय व्यवहार आधारित सुरक्षा व्यवस्था अपनाने की जरूरत है। नए उपकरण, असामान्य सत्र, संदिग्ध ऐप की Accessibility पहुंच और असामान्य लेनदेन को एक साथ जांचना जोखिम वाले लेनदेन को समय रहते रोकने में मदद कर सकता है।
a Researcher at Algoritha Security के अनुसार, Android के वैध प्रोफाइल और Accessibility फीचर का दुरुपयोग दिखाता है कि मोबाइल बैंकिंग सुरक्षा में केवल संक्रमित ऐप की पहचान पर्याप्त नहीं है। यदि किसी उपकरण पर असामान्य Work Profile, ऐप की दूसरी प्रति और संवेदनशील Accessibility अनुमति एक साथ दिखाई दें, तो इन्हें संभावित खाता अधिग्रहण के जुड़े संकेतों के रूप में देखना चाहिए।
