Malware Android Hirudo Sasar Aplikasi Perbankan di Indonesia, Ganti Aplikasi Resmi demi Hindari Deteksi Keamanan

Sebuah malware Android baru bernama Hirudo terdeteksi aktif mencuri kredensial rekening bank dengan cara membongkar dan mengganti aplikasi perbankan resmi milik korban menggunakan versi modifikasi yang telah dilumpuhkan sistem pemeriksaan keamanannya.

Tim peneliti keamanan berhasil mengidentifikasi salinan berbahaya dari delapan aplikasi perbankan yang memanfaatkan hooking engine untuk melewati pemeriksaan tanda tangan aplikasi (app-signature), layanan Aksesibilitas (Accessibility), serta verifikasi Google Play Integrity dengan cara memalsukan informasi sertifikat atau mengembalikan daftar data kosong (empty lists).

Melalui malware Hirudo ini, pelaku kejahatan siber (threat actors) dapat mencuri data kredensial perbankan, mengambil alih kendali ponsel yang terinfeksi dari jarak jauh secara real-time, mengumpulkan pesan teks, mengambil tangkapan layar (screenshot), hingga merekam suara di sekitar perangkat.

Berdasarkan laporan terbaru yang dirilis oleh perusahaan keamanan perangkat seluler ThreatFabric, malware Hirudo terpantau menyamar sebagai sedikitnya tujuh aplikasi perbankan di Indonesia. Selain menyasar pengguna di tanah air, kampanye malware ini juga menargetkan berbagai institusi keuangan di Tiongkok, India, Meksiko, Maroko, dan Thailand.

Modus Penyebaran Melalui Aplikasi Hiburan dan Belanja

Dalam praktiknya, malware Hirudo umumnya disebarkan melalui sejumlah aplikasi penyamar, seperti aplikasi belanja (Shopora), konten dewasa (1V1 X), maupun aplikasi tontonan drama pendek (ZoyaTV, KoiShort). Aplikasi-aplikasi tersebut tampak sah di permukaan dan bahkan tetap menjalankan fungsi utamanya sebagaimana yang dijanjikan agar tidak memicu kecurigaan korban.

Para peneliti menjelaskan bahwa aplikasi-aplikasi tersebut sejatinya bertindak sebagai malware loader untuk Hirudo. Saat dijalankan, aplikasi akan menampilkan notifikasi pembaruan (update) palsu yang menggiring pengguna untuk memberikan berbagai izin akses krusial, termasuk izin layanan Aksesibilitas (Accessibility services).

Begitu berhasil mengantongi izin tersebut, Hirudo akan langsung menjalankan proses uninstaller untuk menghapus aplikasi perbankan asli yang terpasang di ponsel korban. Selanjutnya, malware mengunduh salinan aplikasi perbankan yang telah dimodifikasi (patched copy) dan menyalahgunakan izin Aksesibilitas tadi untuk menginstalnya secara otomatis. ThreatFabric mencatat bahwa proses penggantian aplikasi ini sebenarnya cukup berisiko bagi malware, mengingat korban masih memiliki celah untuk menginterupsi proses tersebut di dua titik krusial apabila menyadari adanya aktivitas tidak wajar di layar ponsel mereka.

Mekanisme Hooking untuk Melumpuhkan Pertahanan Aplikasi

Dari hasil bedah kode yang dilakukan ThreatFabric, terungkap bahwa aplikasi perbankan palsu yang disusupkan tersebut tetap mempertahankan hampir seluruh baris kode dari aplikasi aslinya. Namun, peretas telah menyuntikkan hooking engine yang dibangun di atas kerangka kerja sumber terbuka (open-source) YAHFA dan Dobby.

Ketika aplikasi perbankan hasil modifikasi tersebut dibuka oleh korban, mesin hooking di dalamnya langsung menjalankan serangkaian tindakan penghindaran deteksi (evasion):

• Mengganti sertifikat tanda tangan digital (signing certificate) palsu dengan informasi sertifikat asli saat sistem melakukan kueri pemeriksaan.
• Menyembunyikan status layanan Aksesibilitas yang sedang aktif dari pantauan aplikasi.
• Menghapus proteksi pembatasan screenshot, sehingga memungkinkan peretas memantau dan merekam layar dari jarak jauh.
• Memodifikasi sertifikat key-attestation dan meneruskan (relay) permintaan verifikasi Play Integrity melalui server yang dikendalikan oleh operator malware.

Para peneliti menekankan bahwa karena hooking engine ini berjalan langsung di dalam proses internal aplikasi perbankan itu sendiri, mekanisme pertahanan bawaan aplikasi justru dapat dibelokkan dan dilumpuhkan dari dalam.

Meski demikian, ThreatFabric menjelaskan bahwa metode penghindaran ini tetap memiliki celah kelemahan. Attestation keybox yang dibundel di dalam malware tersebut diketahui berasal dari kebocoran publik, di mana Google telah memasukkan dua sertifikat di antaranya ke dalam daftar hitam (compromised). Dengan demikian, pemeriksaan pencabutan sertifikat di sisi server (server-side revocation checks) oleh pihak bank seharusnya tetap mampu mendeteksi pemalsuan tersebut.

Pencurian Data Finansial dan Langkah Mitigasi

Saat telah aktif sepenuhnya di perangkat korban, Hirudo sanggup mencuri kata sandi perbankan, PIN pembayaran, kode kunci layar perangkat (device-unlock secrets), serta pesan SMS. Tak hanya itu, malware ini juga dapat melakukan streaming tampilan layar secara langsung ke operator peretas dan memberikan akses penuh ke kamera depan maupun belakang ponsel.

Dalam salah satu skenario pencuriannya, malware menampilkan halaman checkout pembayaran palsu untuk memancing korban memasukkan PIN transaksi. Setelah PIN diketik, layar akan menampilkan pesan transaksi berhasil palsu untuk mengelabui korban, sementara data sensitif tersebut dikirimkan ke kantong peretas.

ThreatFabric mengungkapkan bahwa di dalam panel backend milik peretas yang tidak diamankan dengan baik, ditemukan ribuan entri kredensial aplikasi yang menargetkan perbankan Indonesia, lengkap dengan data perangkat, kode kunci layar, dan profil finansial korban. Kendati demikian, jumlah total korban secara pasti hingga kini belum dapat dipastikan.

Kemunculan Hirudo menandai eskalasi serius dalam cara kerja trojan perbankan Android menghadapi aplikasi yang telah diperkuat (hardened applications), di mana fokus serangan kini bergeser dari sekadar mengakali pemeriksaan integritas tingkat perangkat menjadi perusakan mekanisme keamanan langsung di dalam tubuh aplikasi perbankan.

Guna menangkal ancaman ini, pihak institusi perbankan sangat disarankan untuk melakukan validasi integritas dan atestasi di sisi server (server-side), mengikat proses pemeriksaan keamanan langsung ke sesi aktif dan tindakan sensitif, serta mempertahankan kontrol risiko transaksi dan analisis perilaku pengguna. Sementara bagi para pengguna perangkat Android, sangat dianjurkan untuk selalu memperbarui sistem operasi perangkat, menghindari instalasi berkas APK dari luar toko aplikasi resmi, serta secara berkala menjalankan pemindaian keamanan melalui fitur Google Play Protect.

Sumber: ThreatFabric