GoldFactory 勒索病毒解密与数据恢复

先说结论：GoldFactory 不是勒索病毒家族。 它是 Group-IB 于 2024 年 2 月命名披露的一个以中文为工作语言、以牟利为目的的移动端犯罪团伙，其最早的核心工具 Gigabud 可追溯到 2022 年，团伙成规模的活动始于 2023 年中。之所以在勒索家族库中保留这一条目，是因为国内用户常把「手机被远程控制、钱被转走」笼统称为中毒或勒索，而两类事件的处置窗口与应对手段截然不同。

工具谱系：GoldDigger（2023 年 10 月，针对越南 50 余家金融机构）、GoldDiggerPlus 与内嵌的 GoldKefu（带实时语音坐席）、GoldPickaxe（2023 年 10 月，首个已知窃取人脸生物特征的 iOS 木马）、长期演进的 Gigabud 及其改版测试分支 Gigaflower，以及 2026 年 9 月披露的配套克隆器 Vwork。团伙还使用 Remo、MMRat 作为投放器，并用 Frida、Dobby、Pine 等框架改造正版银行应用（Group-IB 分别命名为 FriHook、SkyHook、PineHook）。

规模与地域：Group-IB 2025 年 12 月报告显示，改造版银行应用最早于 2024 年 10 月现身泰国，2024 年底至 2025 年初扩散至越南，2025 年中起在印尼激增；已发现 300 余个改造应用样本、27 款被注入的正版银行应用、30 家被针对的金融机构，关联样本逾 3000 个、感染逾 1.1 万例。2026 年 9 月的 Vwork 报告显示，可配合该克隆器使用的 Gigabud 样本还覆盖巴西、哥伦比亚、埃及、老挝、墨西哥、摩洛哥、菲律宾、土耳其等地。目前没有公开报告显示其针对中国大陆金融机构，但国内安全厂商已在金融行业月报中跟踪该团伙，企业出海业务与员工跨境用机仍在其打击面内。

这个家族没有后缀、没有勒索信，判定完全依赖设备侧迹象：

• 安装来源异常：应用来自钓鱼页面或聊天工具发来的 APK，而非应用商店；早期 iOS 受害者通过 TestFlight 或被诱导安装 MDM 描述文件。2025 年底起团伙基本放弃定制 iOS 木马，改为电话指挥受害者「借一台安卓手机」继续操作。
• 权限组合可疑：同时索要无障碍服务、悬浮窗、屏幕录制、相机、短信与通讯录，并要求关闭电池优化。授予无障碍权限的那一刻，操作员就取得了设备的实时控制权。
• 界面异常：打开真实银行 App 时弹出伪造登录页；输入锁屏密码时有不可见浮层；转账期间屏幕变黑或显示「系统更新」。
• 多出一个「工作档案」：在「设置 → 密码与账号」中出现工作（Work）标签页，或应用图标右下角带公文包角标，同一款银行 App 在个人区与工作区各有一个——这是 Vwork 克隆的典型痕迹。
• 其他技术迹象：隐藏图标的应用、加密载荷文件（payload_dex.bin、dex_key.bin 一类）、本地 127.0.0.1 上监听的 SOCKS5 代理端口。

反向判据：如果确实出现文件被改后缀、目录里落下勒索信，那就不是这个家族，应按对应的加密勒索家族重新鉴定，不要套用本页假设。

入口是社会工程，不是漏洞利用，整条链路由人工操作员驱动：

• 冒充政务与公共服务：越南案例中冒充国家电力集团 EVN 催缴电费、省级卫生部门通知食品安全检查、国家公共服务门户与公安部门；印尼案例中冒充人口与民事登记局（Disdukcapil），借「数字身份证 KTP 换发」话术诱导安装名为 IKD 的伪应用；另有冒充航空公司与税务部门的样本。
• 电话 + 即时通讯组合：先打电话制造紧迫感（停电、罚款、行政处罚），再要求加 Zalo 等聊天工具，由「客服」全程指导下载与授权。GoldKefu 模块甚至内置实时语音坐席，可在受害者点击时同步通话安抚。
• 伪装应用商店：发来外观与 Google Play 高度相似的页面，点击后下载的是 APK 文件；商店安装「失败」或提示「不兼容」时，引导受害者去外部站点旁加载（sideload）。
• 面向中文用户的诱饵：2026 年 7 月变种通过仿冒「快播 KuaiBo」影音站点分发，说明诱饵已不限于政务题材。

对企业而言，真正的传导路径是员工个人手机——同一台设备上往往同时装着企业 OA、邮箱、VPN 令牌与银行应用，一次个人侧的社工成功就可能把企业凭据一并带走。

没有加密行为。 这里的「加密特点」需要换一个问法：这些木马拿走了什么，以及它们怎么绕过银行的风控。

• 采集目标：人脸识别视频与静态图像、身份证件照片、短信与一次性验证码、银行登录凭据、设备锁屏密码、已安装应用清单（用于挑选高价值银行目标），以及通过无障碍服务实时读取的屏幕内容。
• 绕过活体检测：窃取的人脸素材经 AI 换脸生成深度伪造视频，再通过虚拟摄像头（VCAM 一类）与 Frida、LSPosed 等挂钩框架注入银行 App 的取流环节。由于活体检测校验的是「送进来的画面」而非「画面的来源」，注入式攻击可以绕过相当成熟的检测。
• 绕过银行侧风控（2026 年新手法）：Gigabud 在取得权限后安装 Vwork——一个开源克隆工具 Shelter 的魔改分支，利用 Android 工作档案（Work Profile）创建隔离空间，把银行 App 克隆进去再发起转账。个人区已触发的恶意软件告警不会在新建的工作区复现，银行侧看到的是一台「新设备」的正常交易，恶意信号与欺诈交易之间的关联被人为切断。
• 落地影响：Group-IB 统计，仅印尼一地 2026 年 2 月至 7 月观测到约 1469 台受控设备、1281 次可能被窃的登录，估算损失约 96 万美元。