Trojan perbankan Android menargetkan bank-bank di Indonesia, menegaskan pentingnya keamanan mobile berlapis dan verifikasi independen.

Sebuah Android banking trojan menargetkan bank-bank di Indonesia dengan mengganti aplikasi mobile banking yang sah dengan versi modifikasi yang dirancang untuk menghindari pemeriksaan keamanan, menurut peneliti keamanan siber di ThreatFabric.

Malware bernama Hirudo ini menggabungkan pencurian kredensial dengan kendali jarak jauh atas ponsel yang terinfeksi. Peneliti mengidentifikasi delapan aplikasi perbankan yang telah dimodifikasi dan terkait dengan tujuh bank di Indonesia. Teknik yang digunakan menunjukkan bagaimana penyerang dapat mengeksploitasi izin perangkat, memanipulasi perilaku aplikasi, dan melemahkan pemeriksaan keamanan.

Tidak seperti malware yang hanya menampilkan layar login palsu, Hirudo berupaya menghapus aplikasi perbankan asli lalu menggantinya dengan salinan yang telah dimodifikasi. Aplikasi pengganti ini dapat mengganggu pemeriksaan keamanan yang dilakukan di dalam aplikasi itu sendiri.

Cara Kerja Serangan

Hirudo disebarkan melalui aplikasi belanja dan hiburan yang menampilkan permintaan pembaruan palsu, sehingga pengguna tertipu untuk memasang payload berbahaya yang terpisah.

Setelah terpasang, malware dapat menyalahgunakan layanan Android Accessibility untuk berinteraksi dengan aplikasi dan menangkap informasi sensitif. Kemampuannya mencakup pencurian kata sandi perbankan, PIN pembayaran, dan kredensial untuk membuka kunci perangkat; pengumpulan pesan SMS; serta melihat layar korban dari jarak jauh.

ThreatFabric menemukan bahwa aplikasi perbankan yang dimodifikasi menggunakan YAHFA dan Dobby, yaitu framework yang memungkinkan penyerang mengubah perilaku aplikasi saat runtime. Malware dapat menyamarkan tanda tangan aplikasi yang telah dimodifikasi, menyembunyikan layanan Accessibility yang aktif, dan menonaktifkan perlindungan tangkapan layar. Malware juga dapat memanipulasi respons yang berkaitan dengan pemeriksaan Google Play Integrity.

Manish Mimani, Founder dan CEO Protectt.ai Labs, perusahaan keamanan aplikasi mobile berbasis AI, menyoroti bahwa risiko terbesarnya adalah menganggap aplikasi perbankan di ponsel nasabah pasti merupakan aplikasi yang diterbitkan oleh bank.

“Keamanan mobile harus terus-menerus menilai integritas aplikasi, perilaku perangkat, dan ancaman saat runtime, bukan hanya memverifikasi aplikasi ketika pertama kali dipasang,” ujar Mimani.

Cara Bank Mendeteksi dan Menghentikan Serangan

Teknik yang digunakan Hirudo membutuhkan langkah pertahanan yang berbeda-beda. Tidak ada satu kontrol yang cukup, terutama ketika malware dapat memanipulasi aplikasi yang telah disusupinya.

Mendeteksi pencurian kredensial: Hirudo mengandalkan penyalahgunaan Accessibility alih-alih layar overlay palsu. Aplikasi perbankan perlu menilai layanan Accessibility yang mencurigakan dan mendeteksi overlay yang menipu. Jika aktivitas tidak biasa teridentifikasi, aplikasi dapat menaikkan skor risiko perangkat dan memicu verifikasi tambahan atau membatasi transaksi sensitif. Alat aksesibilitas yang sah tetap harus diperhitungkan agar pengguna yang membutuhkannya tidak ikut terblokir.

Mempertahankan deteksi saat lalu lintas jaringan terganggu: ThreatFabric mendokumentasikan dropper yang membuat koneksi VPN sengaja tidak berfungsi selama instalasi, sehingga mengurangi efektivitas pemindaian aplikasi berbasis cloud. Karena itu, aplikasi perbankan perlu mengandalkan deteksi di perangkat yang tetap bekerja saat offline, mencatat kegagalan pencarian ke backend, serta menetapkan cara menangani tindakan berisiko tinggi ketika backend tidak dapat dihubungi. Pencarian yang gagal tidak boleh dianggap sebagai bukti infeksi, tetapi kegagalan tersebut juga tidak boleh secara diam-diam menonaktifkan perlindungan.

Mengidentifikasi pemantauan layar: Kemampuan Hirudo untuk mengakses layar dapat mengekspos aktivitas perbankan dan informasi sensitif. Aplikasi perlu mengidentifikasi indikator screen mirroring dan perekaman layar yang didukung, serta akses notifikasi yang mencurigakan. Sinyal ini dapat digunakan dalam penilaian risiko, meskipun tidak semua bentuk tangkapan layar dapat dideteksi.

Mendeteksi aplikasi yang dimodifikasi dan runtime hooking: Aplikasi pengganti menggunakan framework hooking untuk mengubah pemeriksaan keamanan dari dalam aplikasi. Deteksi reverse engineering dan runtime hooking dapat membantu mengidentifikasi framework yang mencurigakan, upaya tampering, dan perilaku eksekusi yang tidak semestinya. Code obfuscation dan hardening memberikan ketahanan tambahan, tetapi tidak dapat menjamin aplikasi akan selalu bebas dari kompromi.

Perlindungan tangkapan layar seperti FLAG_SECURE pada Android juga perlu diperkuat dengan deteksi runtime tampering. Hirudo menunjukkan bahwa keberadaan pembatasan tangkapan layar saja tidak menjamin layar sensitif tetap terlindungi.

Memverifikasi integritas perangkat dan aplikasi secara independen: Hirudo dapat memanipulasi respons lokal dan meneruskan permintaan Play Integrity melalui server yang dikendalikan penyerang. Karena itu, bank perlu memverifikasi hasil pemeriksaan integritas di infrastruktur backend tepercaya, memvalidasi attestation dan pencabutan sertifikat jika relevan, serta mengikat pemeriksaan integritas ke sesi atau tindakan terlindungi yang sesuai. Deteksi root dapat menjadi sinyal risiko tambahan, tetapi tidak boleh dianggap sebagai bukti bahwa perangkat aman.

Perlindungan terakhir adalah penilaian risiko pada tingkat transaksi. Bank perlu menggabungkan sinyal-sinyal ini dengan analisis perilaku dan menerapkan kontrol yang sesuai pada tindakan berisiko tinggi, termasuk pemulihan kredensial, penambahan penerima baru, dan persetujuan pembayaran. Jika satu lapisan deteksi berhasil dilewati, lapisan lainnya harus tetap mampu mengidentifikasi aktivitas yang mencurigakan.

Sonny Gunawan, Deputy Director (Technical) di Dymar Jaya Indonesia, mengatakan bahwa ancaman ini menegaskan perlunya kerja sama yang lebih erat antara bank dan penyedia keamanan siber.

“Berbagi threat intelligence dan memperkuat keamanan di seluruh siklus hidup aplikasi mobile akan menjadi hal penting untuk tetap selangkah di depan serangan yang semakin canggih,” ujarnya.

Melindungi Ekosistem Digital Banking Indonesia

Kesadaran nasabah tetap penting, khususnya dalam mengenali pembaruan palsu dan aplikasi yang meminta izin yang tidak diperlukan. Namun, official app store dan edukasi pengguna tidak dapat mengatasi semua risiko yang melibatkan perangkat yang telah disusupi atau aplikasi yang dimodifikasi.

Bank, penyedia teknologi, regulator, dan peneliti ancaman perlu berbagi informasi serta memperkuat deteksi di sepanjang siklus hidup aplikasi mobile.

Pelajaran utama dari Hirudo adalah bahwa antarmuka yang familier dan pemeriksaan keamanan yang tampak berhasil tidak menjamin sebuah aplikasi benar-benar asli. Bagi institusi keuangan di Indonesia, perlindungan yang efektif bergantung pada kombinasi pemantauan runtime, verifikasi integritas independen, dan kontrol transaksi yang tetap efektif bahkan ketika penyerang berhasil menyusupi aplikasi.