Malware Gigabud Manfaatkan Fitur Android untuk Lolos Deteksi Bank

Trojan perbankan Gigabud kembali menunjukkan teknik baru untuk menghindari sistem keamanan perangkat Android. Malware yang dikenal mampu mengambil alih ponsel korban tersebut kini dilaporkan menggunakan aplikasi tambahan bernama Vwork untuk membuat work profile dan menempatkan aplikasi perbankan palsu di dalamnya.

Teknik tersebut memungkinkan Gigabud memanfaatkan fitur bawaan Android yang sebenarnya dirancang untuk memisahkan data pribadi dan aplikasi perusahaan. Pemisahan ini kemudian dimanfaatkan untuk menyulitkan aplikasi perbankan dalam mendeteksi keberadaan malware di perangkat.

Temuan tersebut diungkapkan perusahaan keamanan siber Group-IB dalam laporan yang diterbitkan pada 9 September. Group-IB menyatakan telah mengonfirmasi rangkaian serangan tersebut pada perangkat yang terinfeksi di Indonesia.

Menurut peneliti, metode baru ini memperlihatkan bagaimana pelaku malware terus mencari cara untuk melewati mekanisme keamanan yang digunakan aplikasi perbankan. Alih-alih langsung menyerang sistem pemeriksaan aplikasi, Gigabud memanfaatkan batas pemisah yang memang sudah tersedia di Android.

Memanfaatkan Work Profile Android

Work profile merupakan ruang terpisah pada perangkat Android yang umumnya digunakan untuk mengelola aplikasi dan data milik perusahaan. Aplikasi di dalam profil tersebut dipisahkan dari aplikasi dan data pribadi yang berada di profil utama pengguna.

Pemisahan tersebut menjadi bagian penting dalam teknik baru Gigabud.

Group-IB menjelaskan, aplikasi perbankan biasanya memiliki mekanisme keamanan yang dapat memeriksa perangkat untuk mencari malware yang telah dikenal. Namun, pemeriksaan yang berjalan di dalam satu profil tidak selalu dapat menjangkau ruang profil lainnya.

Kondisi inilah yang dimanfaatkan Gigabud.

Dengan menempatkan aplikasi perbankan yang telah dimodifikasi ke dalam work profile, malware yang berada di profil pribadi dapat berada di luar jangkauan pemeriksaan tertentu dari aplikasi perbankan. Akibatnya, aktivitas berbahaya dapat berlangsung tanpa langsung memicu mekanisme deteksi yang sama.

Dokumentasi Android sendiri menyebutkan bahwa aplikasi yang berada di profil utama dapat memulai proses pembuatan work profile. Sistem juga memberikan informasi kepada pengguna mengenai fungsi profil tersebut sebelum proses pembuatannya dilakukan.

Dalam kasus Gigabud, fitur tersebut justru dimanfaatkan untuk kepentingan serangan.

Gigabud Bisa Mengendalikan Ponsel Korban

Gigabud merupakan Remote Access Trojan (RAT) yang memungkinkan operator mengendalikan perangkat korban dari jarak jauh. Malware ini telah aktif sejak 2022 dan oleh Group-IB dikaitkan dengan kelompok yang mereka sebut GoldFactory.

Gigabud diketahui disebarkan melalui aplikasi palsu yang menyamar sebagai aplikasi resmi. Penyamaran tersebut dapat menggunakan nama atau tampilan yang menyerupai aplikasi maskapai nasional, kantor pajak, maupun portal pemerintah.

Aplikasi berbahaya tersebut umumnya dipasang dari sumber di luar toko aplikasi resmi.

Setelah korban menjalankan Gigabud, malware meminta sejumlah izin penting. Di antaranya adalah akses Accessibility, izin untuk menampilkan konten di atas aplikasi lain, serta izin agar aplikasi tetap berjalan di latar belakang.

Dari berbagai izin tersebut, Accessibility menjadi bagian yang sangat penting.

Fitur Accessibility pada dasarnya dirancang untuk membantu pengguna dengan kebutuhan aksesibilitas. Namun, ketika diberikan kepada aplikasi berbahaya, fitur tersebut dapat memberikan kemampuan untuk membaca dan berinteraksi dengan elemen tertentu di layar.

Group-IB mengatakan pemberian izin Accessibility menjadi titik ketika operator dapat memperoleh kendali nyata atas perangkat.

Setelah mendapatkan akses, Gigabud dapat mengirimkan daftar aplikasi yang terpasang di ponsel kepada operator. Informasi tersebut kemudian dapat digunakan untuk mencari tahu apakah perangkat korban memiliki aplikasi perbankan yang menjadi target.

Layar Login Palsu Digunakan untuk Mencuri Data

Ketika korban membuka aplikasi perbankan, Gigabud dapat menampilkan layar login palsu di atas aplikasi yang sebenarnya. Tampilan tersebut dibuat agar menyerupai halaman login aplikasi perbankan. Korban yang tidak menyadari adanya manipulasi dapat memasukkan nama pengguna, kata sandi, PIN, atau informasi lain ke dalam halaman tersebut.

Data yang diketik kemudian dapat dikirimkan kepada operator malware.

Gigabud juga dilaporkan mampu menggunakan overlay lain untuk mendapatkan kode kunci layar perangkat. Setelah memiliki akses yang diperlukan, operator dapat memanfaatkan fitur Accessibility untuk melakukan berbagai tindakan di ponsel korban.

Group-IB menyebut operator dapat menjalankan transaksi dengan melakukan ketukan dan mengetik melalui Accessibility. Pada saat yang sama, layar perangkat dapat ditutupi dengan tampilan hitam sehingga korban tidak melihat aktivitas yang sedang berlangsung.

Dengan mekanisme tersebut, pelaku tidak hanya berusaha mencuri kredensial, tetapi juga dapat memanfaatkan perangkat korban untuk menjalankan transaksi.

Vwork Menjadi Komponen Baru dalam Serangan

Dalam kampanye terbaru tersebut, Gigabud menggunakan aplikasi kedua yang disebut Vwork. Group-IB menemukan kemiripan antara struktur arsitektur dan nama kelas Vwork dengan Shelter, perangkat lunak open source yang juga menggunakan fitur work profile Android.

Shelter pada dasarnya memungkinkan pemilik perangkat mengisolasi atau menggandakan aplikasi menggunakan work profile. Namun, Vwork memanfaatkan konsep yang sama dengan cara berbeda. Vwork memberikan kemampuan tersebut kepada aplikasi lain sehingga prosesnya dapat dikendalikan secara otomatis.

Berdasarkan analisis Group-IB, Vwork dapat digunakan untuk membuat work profile, menggandakan aplikasi ke dalam profil tersebut, melihat aplikasi yang berada di dalamnya, serta membuka aplikasi yang berada di dalam work profile.

Kemampuan ini membuat Vwork dapat menjadi perantara antara Gigabud dan lingkungan terpisah di Android.

Group-IB juga menemukan bahwa sejumlah pemeriksaan yang sebelumnya mencegah aplikasi lain menjalankan fungsi tersebut telah dihilangkan dari Vwork. Dengan demikian, aplikasi lain yang berada di perangkat dapat mengendalikan fungsi Vwork.

Sebelum melakukan penggandaan aplikasi, Vwork meminta izin kepada server eksternal. Sementara itu, Gigabud membawa perintah yang dirancang khusus agar dapat berkomunikasi dan bekerja dengan Vwork.

Serangan Gigabud dan Vwork Dikonfirmasi di Indonesia

Group-IB menemukan pola pemasangan yang berurutan pada perangkat yang diamati di Indonesia. Gigabud dipasang terlebih dahulu. Hanya dalam hitungan menit, Vwork kemudian muncul di perangkat. Setelah itu, aplikasi perbankan yang telah dimodifikasi ditempatkan ke dalam work profile.

Dalam salah satu kasus yang dianalisis secara mendetail, aplikasi di dalam work profile bukanlah hasil penggandaan aplikasi perbankan milik korban.

Sebaliknya, Group-IB menemukan bahwa aplikasi tersebut merupakan versi palsu dari aplikasi bank Indonesia yang sebenarnya. Dengan kata lain, korban dapat melihat aplikasi yang secara visual menyerupai aplikasi perbankan resmi, tetapi aplikasi tersebut berada di lingkungan yang dikendalikan oleh malware.

Group-IB menegaskan bahwa rangkaian lengkap teknik tersebut telah dikonfirmasi pada perangkat di Indonesia. Sementara itu, keberadaan sampel Gigabud yang kompatibel dengan Vwork di negara lain belum otomatis berarti terjadi infeksi.

Menargetkan Sejumlah Negara

Selain Indonesia, Group-IB menemukan sampel Gigabud yang dibuat agar dapat bekerja dengan Vwork dan menargetkan sejumlah negara. Sampel tersebut ditemukan terkait dengan target di Brasil, Kolombia, Mesir, Laos, Meksiko, Maroko, Filipina, Thailand, Turki, serta salah satu negara anggota Gulf Cooperation Council (GCC) yang tidak disebutkan.

Namun, Group-IB memberikan catatan penting. Negara-negara tersebut merupakan sasaran yang terlihat dari sampel malware, bukan daftar negara yang seluruhnya telah dipastikan mengalami infeksi. Hingga laporan tersebut diterbitkan, Indonesia menjadi satu-satunya lokasi tempat seluruh rangkaian serangan dengan teknik tersebut telah dikonfirmasi.

Kerugian Mencapai Sekitar US$960.000

Ancaman Gigabud di Indonesia juga tercermin dari jumlah perangkat dan akun yang diamati oleh Group-IB. Dalam periode Februari hingga Juli 2026, Group-IB mencatat sekitar 1.469 perangkat terkompromi dan 1.281 login yang kemungkinan telah disusupi di Indonesia. Kerugian yang diperkirakan dari aktivitas tersebut mencapai sekitar US$960.000. 

Meski demikian, angka tersebut tidak dapat dianggap sebagai jumlah keseluruhan korban atau total kerugian Gigabud di Indonesia. Group-IB menjelaskan bahwa angka tersebut berasal dari aktivitas yang berhasil mereka amati. Karena itu, data tersebut tidak menggambarkan keseluruhan kondisi di Indonesia. Peneliti juga tidak mengungkapkan berapa banyak perangkat yang terkompromi tersebut yang telah menggunakan Vwork.

Vwork Masih Dalam Pengembangan

Analisis terhadap satu sampel Vwork menunjukkan bahwa perangkat lunak tersebut masih berada dalam tahap pengembangan aktif. Group-IB menemukan sejumlah fungsi yang belum stabil dan tidak selalu bekerja sebagaimana mestinya pada versi Android tertentu yang memiliki kemiripan dengan basis open source yang digunakan.

Laporan tersebut juga tidak menjelaskan secara spesifik perangkat atau versi Android mana saja yang berhasil dieksploitasi menggunakan teknik Vwork. Temuan ini menunjukkan bahwa teknologi tersebut masih dapat mengalami perubahan. Pelaku malware kemungkinan dapat memperbaiki fungsi yang belum stabil dalam versi berikutnya.

Ada Indikasi Hubungan dengan GoldFactory

Group-IB mengaitkan Gigabud dan Vwork dengan kelompok yang mereka sebut GoldFactory. Peneliti menemukan sejumlah indikator yang menurut mereka mendukung hubungan tersebut. Salah satunya adalah bagian kode Vwork yang merujuk pada nama paket Gigabud.

Peneliti juga menemukan indikator jaringan yang digunakan bersama serta log pengembang yang ditulis dalam bahasa Mandarin. Group-IB menyatakan indikator teknis tersebut tidak dapat dipublikasikan dalam laporan. 

Vwork sebelumnya ditemukan dalam penelitian Group-IB terhadap kampanye aplikasi perbankan yang telah dimodifikasi di Asia Tenggara. Penelitian tersebut dipublikasikan pada Desember 2025. Menurut Group-IB, Vwork sejauh ini hanya terlihat digunakan secara aktif dalam kampanye tersebut.

Pengguna Bisa Memeriksa Work Profile

Kemunculan work profile yang tidak pernah dibuat oleh pengguna dapat menjadi salah satu tanda yang patut diperhatikan.

Pada perangkat Android, pengguna dapat memeriksa keberadaan profil tersebut melalui menu Settings > Passwords and accounts. Jika perangkat memiliki work profile, biasanya akan tersedia tab Work.

Aplikasi yang berada di dalam work profile juga umumnya memiliki ikon kecil berbentuk koper. Jika pengguna menemukan work profile yang tidak pernah dibuat dan tidak terkait dengan perusahaan atau organisasi, profil tersebut dapat diperiksa lebih lanjut.

Google menyediakan opsi untuk menghapusnya melalui tab Work, kemudian memilih Remove Work Profile dan Delete. Proses tersebut akan menghapus data yang tersimpan di dalam work profile.

Namun, menghapus work profile saja belum tentu menyelesaikan seluruh masalah jika Gigabud masih berada di profil pribadi perangkat. Group-IB juga mengatakan Vwork dapat menyembunyikan ikonnya dari daftar aplikasi, meskipun keberadaannya masih dapat terlihat melalui aplikasi pengelola file.

Karena itu, jika pengguna mencurigai perangkat telah terinfeksi, penghapusan profil sebaiknya tidak dianggap sebagai satu-satunya langkah penanganan.

Group-IB Minta Pengguna Waspada

Group-IB menyarankan pengguna memasang aplikasi hanya melalui toko aplikasi resmi dan berhati-hati ketika aplikasi meminta izin Accessibility.

Pengguna sebaiknya tidak memberikan Accessibility kepada aplikasi yang sebenarnya tidak membutuhkan fitur tersebut. Izin ini memiliki kemampuan yang cukup luas sehingga pemberiannya kepada aplikasi mencurigakan dapat meningkatkan risiko pengambilalihan perangkat.

Group-IB juga menyarankan penggunaan autentikasi faktor kedua untuk aplikasi perbankan yang tidak bergantung pada SMS.

Bagi perbankan, Group-IB menyarankan pendekatan deteksi yang tidak hanya berfokus pada keberadaan file malware yang sudah dikenal.

Perubahan perilaku perangkat juga dapat menjadi indikator. Misalnya, munculnya work profile pada ponsel konsumen yang tidak pernah mengaktifkannya, aplikasi perbankan yang terlihat berada di dua profil, profil yang tidak berisi aplikasi sebagaimana biasanya, serta Accessibility yang aktif pada aplikasi yang tidak memiliki alasan jelas untuk menggunakannya.

Teknik Serupa Pernah Digunakan

Memanfaatkan lingkungan terisolasi untuk menghindari sistem keamanan aplikasi perbankan bukanlah konsep yang sepenuhnya baru.

Pada 2023, perusahaan keamanan Promon mengungkap teknik yang digunakan dalam serangan FjordPhantom. Dalam kasus tersebut, aplikasi perbankan asli dijalankan di dalam virtual container sehingga perilakunya dapat dimanipulasi dari lingkungan tersebut.

Pendekatan Vwork memiliki perbedaan.

Jika FjordPhantom berusaha melewati batas pemisah Android dari sisi dalam container, Vwork justru memanfaatkan pemisahan yang sudah disediakan Android melalui work profile. Dengan cara ini, Gigabud berusaha menempatkan dirinya di luar jangkauan pemeriksaan keamanan tertentu yang dilakukan aplikasi perbankan.

Temuan Group-IB tersebut menunjukkan bahwa fitur isolasi pada sistem operasi dapat memiliki sisi lain ketika dimanfaatkan oleh malware. Dalam kasus Gigabud, kombinasi Remote Access Trojan, Accessibility, work profile, aplikasi perbankan palsu, dan kendali jarak jauh menciptakan rangkaian serangan yang dirancang untuk mengelabui pengguna sekaligus menghindari sebagian mekanisme keamanan aplikasi perbankan.

Bagi pengguna Android, kewaspadaan terhadap sumber aplikasi dan izin yang diberikan menjadi semakin penting. Aplikasi yang meminta akses sensitif tanpa alasan yang jelas perlu diperlakukan dengan hati-hati, terutama jika perangkat digunakan untuk mengakses layanan perbankan atau melakukan transaksi keuangan.