Gigabud: Malware Android yang Bersembunyi di 'Work Profile' Bank

Mengenal Fitur 'Work Profile' di Android

Fitur 'Work Profile' pada Android dirancang untuk memisahkan aplikasi dan data pekerjaan dari aplikasi dan data pribadi di perangkat yang sama. Ini biasanya digunakan oleh perusahaan untuk mengelola aplikasi dan data bisnis karyawan secara terpisah, memastikan keamanan dan privasi. Lingkungan kerja ini terisolasi dari ruang pribadi, sehingga aplikasi di satu profil tidak dapat langsung mengakses data di profil lainnya.

Modus Baru Gigabud: Bersembunyi di 'Work Profile'

Malware Gigabud, yang telah aktif sejak tahun 2022 dan dikaitkan dengan kelompok GoldFactory, kini mengembangkan taktik baru yang lebih canggih. Menurut laporan Group-IB pada 9 September, Gigabud sekarang menginstal aplikasi Android kedua bernama Vwork. Aplikasi Vwork ini bertugas membuat 'Work Profile' di ponsel korban yang terinfeksi dan kemudian menanam aplikasi perbankan palsu di dalamnya. Taktik ini memungkinkan Gigabud untuk menghindari pemeriksaan malware yang ada di aplikasi perbankan asli.

Cara Kerja Serangan Gigabud

Serangan dimulai ketika korban mengunduh aplikasi palsu yang menyamar sebagai maskapai penerbangan nasional, kantor pajak, atau portal pemerintah dari luar toko aplikasi resmi. Setelah terinstal, Gigabud meminta aksesibilitas, izin untuk menggambar di atas aplikasi lain, dan izin untuk berjalan di latar belakang. Pemberian aksesibilitas adalah titik krusial di mana operator memperoleh kendali penuh atas perangkat.

Gigabud kemudian mengumpulkan daftar semua aplikasi di ponsel untuk mengidentifikasi target perbankan. Ketika korban membuka aplikasi bank asli mereka, layar login palsu akan muncul di atasnya untuk mencuri kredensial. Selain itu, overlay kedua yang tidak terlihat oleh pengguna akan mencuri kode kunci layar ponsel.

Vwork: Kunci di Balik Penyamaran

Vwork adalah aplikasi yang dimodifikasi dari alat open-source bernama Shelter, yang juga menggunakan fitur 'Work Profile' untuk mengisolasi atau menduplikasi aplikasi. Perbedaannya terletak pada kontrol: Shelter dioperasikan secara manual oleh pengguna, sementara Vwork dimanipulasi oleh Gigabud. Vwork telah dimodifikasi untuk menghilangkan pemeriksaan keamanan, sehingga aplikasi lain di perangkat dapat memanipulasinya. Sebelum mengkloning aplikasi, Vwork meminta izin dari server eksternal, menunjukkan koordinasi dengan Gigabud.

Dampak dan Kerugian yang Terjadi

Group-IB mengonfirmasi rantai serangan penuh di Indonesia. Antara Februari dan Juli 2026, Group-IB mencatat sekitar 1.469 perangkat yang disusupi dan 1.281 login yang mungkin disusupi di Indonesia, dengan perkiraan kerugian mencapai $960.000. Meskipun angka ini hanya mencakup pengamatan Group-IB, ini menunjukkan skala ancaman yang signifikan.

Rekomendasi Mitigasi dan Pencegahan

Untuk melindungi diri dari ancaman seperti Gigabud, ada beberapa langkah penting yang dapat diambil:

• Unduh Aplikasi dari Sumber Resmi: Selalu instal aplikasi hanya dari toko aplikasi resmi seperti Google Play Store.
• Tolak Aksesibilitas yang Tidak Perlu: Jangan berikan izin aksesibilitas kepada aplikasi yang bukan merupakan alat aksesibilitas. Izin ini memberikan kontrol penuh kepada aplikasi atas perangkat Anda.
• Gunakan Autentikasi Dua Faktor (2FA): Aktifkan 2FA untuk aplikasi perbankan Anda, terutama yang tidak bergantung pada SMS, untuk lapisan keamanan tambahan.
• Periksa 'Work Profile': Jika Anda menemukan 'Work Profile' yang tidak Anda buat di ponsel pribadi Anda, segera hapus.
• Waspada Terhadap Aplikasi Bank Palsu: Pastikan aplikasi bank yang Anda gunakan adalah versi resmi. Perhatikan tanda-tanda mencurigakan seperti permintaan izin yang tidak biasa atau tampilan yang berbeda dari biasanya.

Kesimpulan

Modus baru Gigabud yang memanfaatkan 'Work Profile' Android menunjukkan evolusi ancaman malware yang semakin canggih. Dengan memahami cara kerja serangan ini dan menerapkan langkah-langkah pencegahan yang disarankan, kita dapat mengurangi risiko menjadi korban. Tetaplah waspada dan terus perbarui pengetahuan Anda tentang keamanan siber.