Peneliti keamanan dari Group-IB baru saja membongkar trik baru dari malware Gigabud, trojan Android yang menyerang aplikasi mobile banking. Kali ini aksinya lebih jauh: malware Gigabud membuat salinan aplikasi bank kamu di dalam ruang tersembunyi bernama work profile, lalu menjalankan transaksi dari sana.
Yang bikin laporan ini terasa dekat: Indonesia jadi salah satu tempat pertama di mana rangkaian serangan itu terbukti utuh. Group-IB mencatat sekitar 1.469 perangkat terinfeksi dan 1.281 kredensial login berpotensi bocor di Indonesia sepanjang Februari sampai Juli 2026, dengan estimasi kerugian mendekati 1 juta dolar AS.
Laporan berjudul penelitian “Hook for Gold” itu dirilis 9 September 2026. Kabar ini juga diliput The Hacker News, Dark Reading, dan Malwarebytes dalam beberapa hari terakhir. Jadi ini bukan hoax atau isu lama yang didaur ulang.
Apa Itu Malware Gigabud?
Gigabud adalah remote access trojan (RAT) Android yang aktif sejak 2022. Kalau RAT lain mencuri kredensial lalu kabur, Gigabud bekerja seperti tim remote yang mengambil alih HP korban. Setelah dapat izin, operatornya bisa menekan tombol, membuka aplikasi, dan menyelesaikan transaksi langsung dari perangkat kamu.
Group-IB menilai Gigabud sebagai produk kelompok kriminal berbahasa Mandarin yang mereka sebut GoldFactory. Sebarannya sudah menyentuh Asia Tenggara, Asia Selatan, Timur Tengah, Afrika, sampai Amerika Latin.
Cara masuknya sederhana dan sudah dipakai bertahun-tahun: korban mengunduh aplikasi “resmi” dari luar Google Play. Modusnya menyaru maskapai nasional, kantor pajak, atau portal layanan pemerintah. Aplikasi tiruan itu biasanya datang dari link WhatsApp atau Telegram yang terlihat masuk akal karena memakai logo dan nama instansi asli.
Baca juga: Aplikasi Android Wajib Hemat Memori Mulai Februari 2027: Aturan Baru Google Play
Bagaimana Malware Gigabud Menyusup dan Menyembunyikan Diri
Bagian paling baru dari temuan Group-IB adalah aplikasi generasi kedua yang dipasang setelah infeksi. Namanya Vwork, versi jahat dari Shelter, aplikasi open source yang aslinya dibuat supaya pengguna bisa mengisolasi atau menjalankan salinan aplikasi di work profile. Vwork mengubah fungsi itu supaya bisa dikendalikan dari jarak jauh.
Rangkaiannya seperti ini:
- Korban memasang aplikasi tiruan dari luar Play Store.
- Aplikasi itu meminta izin accessibility service, yang di Android artinya kontrol penuh atas layar dan input.
- Gigabud memindai HP, mencatat aplikasi apa saja yang terpasang.
- Gigabud mengunduh dan memasang Vwork di latar belakang.
- Vwork membuat work profile baru, lalu menyalin aplikasi bank milik korban ke dalam profil kerja tersebut.
- Operator menjalankan transaksi di aplikasi hasil kloning itu, sementara layar HP korban dibuat hitam supaya aktivitasnya tidak terlihat.
Kenapa work profile jadi celah? Karena aplikasi bank punya kode keamanan sendiri yang memindai HP untuk mencari aplikasi berbahaya. Pemindaian itu jalan di profil utama, sedangkan trojan Gigabud duduk di profil utama juga, sementara kloning aplikasi bank berada di ruang terpisah. Dari dalam work profile, pemindaian tidak menjangkau ruang pribadi.
Efeknya, sistem antifraud bank melihat transaksi dari lingkungan yang tampak bersih, sementara peringatan malware muncul di ruang lain. Dua sinyal itu jadi tidak nyambung. Inilah yang disebut Group-IB sebagai upaya memutus hubungan antara bukti malware dan transaksi berisiko.
Indonesia Jadi Uji Coba Pertama
Dark Reading menyebut Indonesia sebagai early testing ground untuk teknik ini. Artinya penyerang menguji dulu apakah trik work profile cukup ampuh sebelum dipakai lebih luas. Angka 1.469 perangkat dan 1.281 login dalam enam bulan bukan jumlah kecil untuk sebuah eksperimen.
Catatan lain, Android sendiri tidak dirancang supaya work profile bisa dibuat diam-diam. Dokumentasi platform Google menyebut aplikasi apa pun di profil utama bisa memulai proses pembuatan work profile, dan pengguna harus diberi tahu apa fungsi work profile sebelum profil itu dibuat.
Praktiknya, notifikasi itu sering diabaikan korban. Apalagi kalau muncul saat HP sedang ramai notifikasi lain, atau dibungkus dalam alur izin yang panjang bersama permintaan accessibility dan akses notifikasi.
Baca juga: Android Drop September 2026 Resmi Rilis: Fitur Baru dari Find Hub, Motion Assist, sampai Google
Tanda HP Kamu Punya Work Profile Palsu
Kalau kamu tidak pernah memakai HP untuk urusan kantor, work profile di HP kamu itu mencurigakan. Cek beberapa hal ini:
- Ada ikon tas kerja di deretan aplikasi, atau aplikasi bank muncul dua kali di dalam tab “Work”.
- Muncul akun atau profil baru di pengaturan akun yang tidak kamu buat.
- Ada notifikasi “work profile sedang disiapkan” yang kamu tidak pernah setujui.
- Aplikasi asing di daftar accessibility service, terutama yang tidak punya ikon jelas atau nama mirip aplikasi sistem.
- Layar HP sempat menghitam sendiri, atau kursor dan tombol bergerak tanpa kamu sentuh.
Kalau kamu menemukan salah satunya, jangan asal hapus aplikasi bank. Yang perlu dibersihkan dulu adalah profil kerjanya, karena kloning aplikasi bank ada di dalam situ.
Cara Melindungi Diri dari Malware Gigabud
Ada beberapa langkah praktis yang bisa dilakukan sekarang, tanpa perlu jadi ahli keamanan:
- Hanya pasang aplikasi dari Google Play. Kalau ada link APK dikirim via chat, anggap mencurigakan dulu, termasuk yang mengaku dari instansi pemerintah.
- Jangan beri izin accessibility ke aplikasi yang tidak kamu kenal. Izin ini setara dengan menyerahkan kontrol HP.
- Matikan opsi “install unknown apps” untuk browser dan aplikasi chat di Pengaturan.
- Nyalakan Google Play Protect dan jalankan pemindaian rutin.
- Periksa daftar akun dan profil di Pengaturan secara berkala. Kalau ada work profile yang tidak kamu buat, langsung hapus lewat menu akun.
- Aktifkan notifikasi transaksi per bank dan cek mutasi minimal sekali seminggu.
Untuk pengguna Android, mengecek daftar accessibility service cuma butuh beberapa detik: buka Pengaturan, cari “Accessibility”, lalu lihat aplikasi mana saja yang punya akses. Semua yang tidak kamu kenali sebaiknya dimatikan.
Kalau Sudah Terlanjur Kena
Urutan penanganannya penting supaya kerugian tidak makin besar. Pertama, cabut izin accessibility aplikasi mencurigakan dan hapus work profile palsu. Kedua, hapus aplikasi yang memasang profil itu.
Setelah itu, hubungi bank. Minta pembekuan sementara transaksi, ganti PIN dan password mobile banking, lalu ganti juga password email yang terhubung ke akun bank. Kalau HP jadi lambat, panas, atau memori penuh tanpa sebab, pilihan paling aman adalah backup data penting dan lakukan factory reset.
Soal Gigabud ini bukan berarti Android lemah. Yang dieksploitasi adalah keputusan pengguna memberi izin, ditambah modus file APK dari luar toko resmi. Dua hal itu masih bisa dikendalikan sendiri, dan hampir selalu jadi pintu masuk utama malware banking di Indonesia.
Sumber: Group-IB, The Hacker News, Dark Reading, Malwarebytes.
