Hugging Face Disalahgunakan untuk Sebarkan Ribuan Varian Malware Android
Sebuah kampanye malware Android berskala besar terungkap memanfaatkan Hugging Face sebagai repositori distribusi. Platform yang selama ini dikenal tepercaya di kalangan AI/ML itu disalahgunakan untuk menyebarkan ribuan varian APK berbahaya yang menargetkan kredensial layanan finansial dan pembayaran populer.
Temuan ini diungkap oleh peneliti Bitdefender, yang menjelaskan bagaimana infrastruktur Hugging Face—lengkap dengan CDN-nya—dimanfaatkan agar payload terlihat “aman” dan kecil kemungkinan memicu peringatan keamanan.
Modus Serangan: Dropper → Redirect → Payload dari Hugging Face
Serangan diawali dengan aplikasi dropper bernama TrustBastion. Aplikasi ini menyebar lewat iklan scareware yang mengklaim perangkat korban terinfeksi. Menyamar sebagai alat keamanan, TrustBastion langsung menampilkan “mandatory update” bergaya Google Play.
Alih-alih mengunduh malware langsung, dropper menghubungi server yang terkait trustbastion[.]com, lalu mengalihkan (redirect) korban ke dataset repository di Hugging Face yang berisi APK berbahaya. Payload kemudian diunduh melalui CDN Hugging Face.
Untuk menghindari deteksi, pelaku menerapkan polimorfisme sisi server—varian payload baru dibuat setiap 15 menit. Saat dianalisis, repositori berumur ~29 hari itu sudah mencatat lebih dari 6.000 commit. Setelah diturunkan, operasi muncul kembali dengan nama baru “Premium Club”, ikon berbeda namun kode berbahaya tetap sama.
Kemampuan Malware: Aksesibilitas, Overlay Palsu, dan Eksfiltrasi
Payload utama (tanpa nama jelas) bertindak sebagai remote access tool (RAT) yang menyalahgunakan Android Accessibility Services—ditampilkan seolah-olah diperlukan demi “keamanan”. Begitu izin diberikan, malware dapat:
- Menampilkan overlay (antarmuka palsu)
- Merekam layar, melakukan swipe, dan mencegah uninstall
- Memantau aktivitas dan mengirim screenshot ke server C2
- Menampilkan halaman login palsu (mis. Alipay, WeChat) untuk mencuri kredensial
- Mencoba mencuri PIN layar kunci
Malware mempertahankan koneksi aktif ke command-and-control (C2) untuk menerima perintah, konfigurasi, serta menyajikan konten palsu agar TrustBastion tampak sah.
Tindakan Respons & Rekomendasi
Bitdefender telah memberi tahu Hugging Face, dan dataset berbahaya sudah dihapus. Peneliti juga merilis indikator kompromi (IOC) untuk dropper, jaringan, dan paket berbahaya.
Saran untuk pengguna Android:
- Hindari sideloading dan toko aplikasi pihak ketiga
- Cermati izin aplikasi, khususnya Accessibility Services
- Perbarui sistem dan gunakan proteksi keamanan tepercaya
Kesimpulan:
Kasus ini menunjukkan bagaimana platform tepercaya dapat disalahgunakan sebagai saluran distribusi malware melalui rekayasa sosial + polimorfisme. Kewaspadaan pengguna dan kontrol izin yang ketat tetap menjadi kunci.
