ALEXA.ID — Perusahaan keamanan siber Group-IB membongkar modus operandi baru dari trojan perbankan Gigabud yang menyasar pengguna perangkat Android di Indonesia. Malware berbahaya ini kini mampu memasang aplikasi sekunder untuk membuat fitur Work Profile (Profil Kerja) di ponsel target, lalu menyisipkan aplikasi perbankan palsu di dalamnya demi menghindari pemindaian sistem keamanan bank.
Pemisahan ruang digital tersebut membuat sistem pemindai malware pada aplikasi bank gagal mendeteksi keberadaan trojan yang berada di ruang pribadi ponsel. Akibatnya, peretas dapat mengeksekusi transaksi keuangan ilegal tanpa memicu peringatan bahaya dari sistem keamanan perbankan.
Cara Kerja Trojan Gigabud dan Modifikasi Aplikasi Vwork
Group-IB mengaitkan pengembangan Gigabud dengan kelompok kejahatan siber bernama GoldFactory. Peretas menyebarkan malware ini melalui aplikasi berbahaya yang menyamar sebagai platform resmi maskapai penerbangan nasional, kantor pajak, hingga portal pemerintah. Aplikasi buatan tersebut diunduh korban dari luar toko aplikasi resmi.
Saat pertama kali dijalankan, Gigabud meminta izin aksesibilitas (Accessibility), izin menampilkan layar di atas aplikasi lain, serta izin berjalan di latar belakang. Pemberian izin aksesibilitas menjadi pintu masuk utama bagi peretas untuk mengambil alih kendali penuh atas perangkat korban secara jarak jauh.
Setelah menguasai ponsel, Gigabud mengirimkan daftar seluruh aplikasi terpasang kepada operator peretas untuk mengidentifikasi target bank. Ketika korban membuka aplikasi perbankan asli, layar login palsu akan muncul di bagian atas untuk mencuri data ketukan tombol, sementara layar transparan kedua merekam kode kunci layar. Operator kemudian dapat mengeksekusi transaksi sembari menutup layar ponsel dengan tampilan hitam.
Proses manipulasi sistem operasi ini melibatkan aplikasi kedua bernama Vwork. Group-IB menemukan bahwa arsitektur Vwork identik dengan Shelter, sebuah alat sumber terbuka yang biasa digunakan untuk memisahkan atau mengkloning aplikasi. Bedanya, Vwork telah dimodifikasi agar dapat dikendalikan otomatis oleh Gigabud. Vwork memangkas tahapan verifikasi menjadi satu perintah konfirmasi berbahasa Mandarin sebelum membuat Work Profile dan mengunduh aplikasi bank palsu dari server luar.
Kerugian Finansial dan Sebaran Target Global
Laporan Group-IB mencatat dampak signifikan dari serangan ini di Indonesia. Antara Februari hingga Juli 2026, lembaga keamanan tersebut mengamati sekitar 1.469 perangkat terkompromi dan 1.281 kredensial log masuk yang berpotensi bocor. Estimasi kerugian finansial yang tercatat mencapai kurang lebih 960.000 dolar AS.
Meski rantai infeksi penuh baru terkonfirmasi di Indonesia, sampel trojan Gigabud yang dirancang bekerja sama dengan Vwork juga ditemukan menargetkan pengguna di berbagai negara lain. Wilayah sasaran tersebut mencakup Brasil, Kolombia, Mesir, Laos, Meksiko, Maroko, Filipina, Thailand, Turki, serta satu negara anggota Dewan Kerja Sama Teluk (GCC).
Penggunaan ruang terisolasi untuk menembus keamanan perbankan sebenarnya bukan teknik baru. Firma keamanan Promon pernah mengidentifikasi malware FjordPhantom pada 2023 yang menjalankan aplikasi bank di dalam wadah virtual. Namun, Vwork menerapkan mekanisme sebaliknya: memanfaatkan fitur pemisah resmi bawaan Android untuk menempatkan trojan di luar jangkauan pemindaian aplikasi perbankan.
Langkah Pencegahan untuk Pengguna dan Penyedia Layanan Bank
Fitur Work Profile pada dasarnya dirancang Android untuk memisahkan aplikasi pekerjaan dari ruang pribadi. Kehadiran profil ini dapat diperiksa pengguna melalui menu pengaturan ponsel. Namun, laporan Group-IB belum memastikan apakah menghapus profil kerja tersebut dapat menghilangkan risiko sepenuhnya selama trojan Gigabud masih aktif di ruang pribadi.
Group-IB mengimbau pengguna untuk hanya mengunduh aplikasi dari toko resmi, menolak permintaan izin aksesibilitas untuk aplikasi yang tidak membutuhkan fitur bantuan, serta menerapkan metode otentikasi dua faktor yang tidak bergantung pada SMS.
Bagi penyedia layanan perbankan, Group-IB menyarankan pemantauan indikator perilaku pada perangkat. Tanda-tanda mencurigakan meliputi munculnya Work Profile pada ponsel konsumen biasa tanpa konfigurasi manual, keberadaan aplikasi bank yang terpasang di kedua profil secara bersamaan, profil kerja yang kosong dari aplikasi kantor, serta aktifnya izin aksesibilitas pada aplikasi tanpa alasan yang jelas.
