Bukan Sekadar Mencuri Password: Malware Ini “Mengganti” Aplikasi Bankmu

JATENG.AKURAT.CO, Dunia keamanan siber Indonesia kembali diguncang pada pertengahan Oktober 2026 ini. Peneliti dari ThreatFabric, perusahaan keamanan mobile asal Belanda, mengungkap keberadaan Hirudo—sebuah trojan perbankan Android yang modus operandinya jauh lebih licik dari malware-malware sebelumnya.

Kalau biasanya malware perbankan hanya memasang layar login palsu di atas aplikasi asli, Hirudo mengambil pendekatan yang lebih agresif: ia menghapus aplikasi bank yang asli dari ponsel korban, lalu menggantinya dengan versi modifikasi yang terlihat dan berperilaku persis seperti aslinya—tapi dengan pertahanan internal yang sudah dilumpuhkan.

Laporan ThreatFabric yang dirilis 14 Oktober 2026 menyebutkan bahwa Hirudo telah terdeteksi meniru delapan aplikasi perbankan dari tujuh bank di Indonesia. Kode malware ini juga mencantumkan target kredensial di Tiongkok, India, Meksiko, Maroko, dan Thailand—menandakan bahwa “kit” serangan ini dirancang agar mudah diperluas ke negara lain.

Gimana Ceritanya Bisa Masuk ke Ponsel Kita?

Jalur infeksinya terbilang klasik, tapi tetap efektif: aplikasi sampah yang menyamar sebagai aplikasi legit.

Hirudo disebarkan melalui aplikasi yang tampak seperti toko online, layanan video dewasa, atau platform drama pendek—dengan nama seperti Shopora, 1V1 X, ZoyaTV, dan KoiShort. Aplikasi-aplikasi ini benar-benar berfungsi sesuai janjinya: menampilkan katalog produk, video, atau episode drama. Makanya korban tidak curiga.

Tapi di balik layar, aplikasi ini bertindak sebagai dropper—pengantar malware. Setelah diinstal, ia menampilkan notifikasi “update” palsu yang mengarahkan korban untuk memberikan izin Accessibility Service. Izin ini sangat powerful: ia memungkinkan aplikasi membaca layar dan melakukan tindakan seperti menekan tombol secara otomatis.

Begitu izin diberikan, Hirudo langsung bekerja. Ia mengecek apakah ada aplikasi bank yang sudah masuk daftar target di ponsel korban. Kalau ada, ia membuka uninstaller Android untuk menghapus aplikasi asli, lalu mengunduh salinan yang sudah dimodifikasi dan memasangnya melalui penyalahgunaan izin Accessibility.

Yang bikin merinding: proses ini terjadi tanpa korban perlu menekan tombol apa pun, karena Hirudo mengendalikan seluruh alur instalasi secara otomatis.

“Self-Blinding Clone”: Pertahanan Bank Dibalikkan ke Dalam

Ini bagian paling jenius—dan paling berbahaya—dari Hirudo.

Tim ThreatFabric membongkar salah satu salinan aplikasi bank yang sudah dimodifikasi dan menemukan bahwa kode asli bank hampir tidak diubah sama sekali. Para penyerang hanya menambahkan satu baris kode di dalam kelas Application aplikasi tersebut. Baris itu memuat hooking engine berbasis framework open-source YAHFA dan Dobby yang berjalan di dalam proses aplikasi bank itu sendiri.

Efeknya? Ketika aplikasi bank bertanya kepada Android tentang sertifikat penandatanganannya, hook tersebut mengganti jawabannya dengan sertifikat asli bank, sehingga aplikasi yang sudah dimodifikasi tetap terlihat “sah” di mata sistem keamanannya sendiri.

Ketika aplikasi bank memeriksa apakah ada Accessibility Service yang aktif, hook tersebut mengembalikan daftar kosong—menyembunyikan keberadaan Hirudo yang sedang mengendalikan ponsel.

Aplikasi yang dimodifikasi juga menonaktifkan perlindungan screenshot, sehingga penyerang bisa melihat dan merekam layar banking korban secara real-time.

Dan yang terakhir, hook tersebut mengalihkan permintaan Play Integrity ke server yang dikendalikan penyerang, sehingga aplikasi bank menerima respons palsu yang menyatakan bahwa perangkat dalam kondisi aman.

Singkatnya: pertahanan bank dibalikkan untuk melawan bank itu sendiri. Seperti kata para peneliti, “Dengan engine yang berjalan di dalam proses aplikasi bank, pertahanan aplikasi itu sendiri yang diputar melawan dirinya”.

Apa yang Bisa Dicuri Hirudo?

Kalau sudah aktif, Hirudo bukan cuma mencuri password. Ia adalah Remote Access Trojan (RAT) yang lengkap—menggabungkan pencurian kredensial dengan kendali penuh atas perangkat korban.

Yang bisa diambil alih:

• Kredensial banking dan PIN pembayaran: ditangkap melalui halaman checkout palsu yang menampilkan hasil pembayaran “berhasil” palsu sambil diam-diam mencuri data.

• Kode SMS: termasuk pemindaian awal 90 hari dan daftar pengirim bank/wallet yang dikonfigurasi.

• Kontrol layar real-time: melalui WebRTC, penyerang bisa melihat layar korban secara langsung.

• Akses kamera depan dan belakang: untuk memata-matai lingkungan sekitar korban.

• Rekaman audio dan screenshot: termasuk yang seharusnya dilindungi oleh fitur keamanan aplikasi bank.

ThreatFabric juga menemukan ribuan entri kredensial aplikasi di panel backend yang tidak aman, lengkap dengan data perangkat, lock-screen, dan profil finansial. Jumlah pasti korban belum bisa dipastikan, tapi skalanya jelas tidak main-main.

Ini Bukan Satu-Satunya: Ekosistem Malware Perbankan Makin “Naik Kelas”

Hirudo bukan muncul di ruang hampa. Sepanjang 2026, malware perbankan yang menargetkan Indonesia sudah menunjukkan tren yang mengkhawatirkan.

Gigabud, misalnya, memanfaatkan fitur work profile bawaan Android untuk menyembunyikan aplikasi perbankan palsu. Group-IB mencatat antara Februari dan Juli 2026, sekitar 1.469 perangkat terkompromi dan 1.281 login berpotensi disusupi di Indonesia, dengan estimasi kerugian mencapai USD 960.939—hampir Rp15 miliar.

Lalu ada GhostBat, RAT yang awalnya terdeteksi Oktober 2025 dan telah berevolusi pada Oktober 2026 untuk menargetkan 60 aplikasi keuangan di India, mencuri PIN melalui overlay transparan di atas keypad asli. Meski targetnya India, pola serangannya menunjukkan bahwa malware perbankan kini semakin canggih dalam menghindari deteksi.

Yang perlu dicatat: Hirudo menandai eskalasi yang disengaja dalam cara malware Android mendekati aplikasi yang sudah diperkeras. Fokusnya bergeser dari pengecekan integritas perangkat ke mekanisme keamanan yang tertanam di dalam aplikasi bank itu sendiri.

Yang Harus Dilakukan: Jangan Cuma Andalkan Bank

Bank-bank tentu punya tanggung jawab untuk meningkatkan pertahanan server-side. ThreatFabric merekomendasikan agar bank memvalidasi integritas dan atestasi di sisi server, bukan hanya mengandalkan sinyal lokal dari aplikasi yang mungkin sudah dimodifikasi. Pengecekan juga harus diikat ke sesi dan aksi spesifik, bukan berdiri sendiri.

Tapi sebagai pengguna, ada beberapa hal yang wajib kamu lakukan—dan ini bukan saran yang bisa ditunda.

1. Hanya Install dari Play Store Resmi

Hirudo disebarkan melalui APK dari sumber tidak resmi. Jangan pernah—sekali lagi, jangan pernah—menginstal aplikasi dari tautan WhatsApp, Telegram, atau situs yang tidak jelas, apalagi yang meminta izin Accessibility.

2. Waspadai “Update” Aplikasi Bank yang Aneh

Kalau aplikasi bankmu tiba-tiba meminta update di luar Play Store, atau ada notifikasi update yang mengarahkanmu ke sumber lain, jangan diikuti. Tutup notifikasi itu dan buka Play Store untuk mengecek update resmi.

3. Audit Izin Accessibility Secara Berkala

Buka Pengaturan > Aksesibilitas di ponselmu. Lihat aplikasi apa saja yang punya izin ini. Kalau ada aplikasi yang tidak kamu kenal atau tidak kamu butuhkan, matikan izinnya segera. Hirudo bergantung sepenuhnya pada izin ini untuk beroperasi.

4. Jalankan Play Protect Secara Rutin

Google Play Protect bisa mendeteksi aplikasi berbahaya. Jalankan pemindaian berkala, meski tidak 100 persen sempurna.

5. Jangan Root Ponselmu (Kecuali Kamu Tahu Risikonya)

Ponsel yang di-root membuka pintu lebih lebar bagi malware untuk mengakses sistem. Kalau tidak ada kebutuhan mendesak, tetap di jalur resmi.

6. Aktifkan Notifikasi Transaksi dan Cek Mutasi Rutin

Kalau ada transaksi mencurigakan, semakin cepat kamu tahu, semakin besar peluang dana bisa diselamatkan.

7. Gunakan Autentikasi Dua Faktor (2FA) di Luar SMS

Hirudo bisa membaca SMS. Kalau bankmu menyediakan 2FA melalui aplikasi authenticator atau token fisik, pakai itu, bukan SMS.

Refleksi: Ketika Aplikasi Bank Sendiri Jadi Senjata

Yang bikin Hirudo berbeda bukan sekadar tekniknya yang canggih, tapi filosofi serangannya. Selama ini kita diajari untuk percaya pada aplikasi resmi—logo yang benar, nama yang benar, dan Play Store sebagai gerbang verifikasi.

Hirudo meruntuhkan asumsi itu dengan mengambil alih aplikasi resmi itu sendiri, mempertahankan semua tanda keasliannya, tapi mematikan pertahanannya dari dalam.

Ini pengingat bahwa dalam dunia malware perbankan, kepercayaan pada satu lapisan pertahanan saja tidak cukup. Bank perlu pertahanan berlapis di server.

Pengguna perlu kewaspadaan berlapis di perangkat. Dan yang paling penting: jangan pernah menganggap “aplikasi resmi” sebagai jaminan mutlak keamanan—karena sekarang, bahkan aplikasi resmi pun bisa berubah menjadi tiruan yang siap menguras rekeningmu.