Malware Hirudo Sasar Delapan Aplikasi Bank di Indonesia

Pengguna Android di Indonesia menghadapi ancaman malware Hirudo yang menargetkan delapan aplikasi mobile banking dari tujuh bank. Perangkat lunak berbahaya ini dapat mencuri PIN, mengambil informasi login, serta mencoba mengganti aplikasi perbankan resmi dengan versi yang telah dimodifikasi untuk melemahkan pemeriksaan keamanan. Perusahaan keamanan siber ThreatFabric mengungkap temuan tersebut dalam laporan yang diterbitkan pada 14 Oktober 2026.

Dikutip dari BleepingComputer pada Kamis (15/10/2026), peneliti menemukan delapan aplikasi perbankan Indonesia yang telah disiapkan versi penggantinya, tetapi tidak mengungkap nama bank yang menjadi sasaran. ThreatFabric menjelaskan bahwa malware ini berupaya mengambil alih aplikasi perbankan melalui penggantian perangkat lunak resmi dengan salinan berbahaya.

"Hirudo berupaya mengganti aplikasi perbankan itu sendiri dengan salinan yang dimodifikasi, yang secara diam-diam menonaktifkan pemeriksaan keamanan milik bank dari dalam aplikasi," jelas ThreatFabric.

Hirudo termasuk trojan akses jarak jauh atau RAT, yang memungkinkan penyerang mengendalikan perangkat korban. Menurut temuan ThreatFabric, malware ini disebarkan melalui aplikasi yang menyamar sebagai layanan belanja dan hiburan, termasuk Shopora, 1V1 X, ZoyaTV, dan KoiShort. Sejumlah aplikasi tersebut menampilkan katalog belanja atau konten hiburan sungguhan agar tampak normal. Namun, aplikasi itu menyimpan komponen berbahaya yang dapat memunculkan pemberitahuan pembaruan palsu untuk mendorong pemasangan malware tambahan.

Hirudo juga meminta izin sensitif, termasuk Accessibility atau aksesibilitas Android. Jika pengguna memberikan izin tersebut, malware dapat memanfaatkannya untuk membaca layar, menekan tombol, dan menjalankan perintah tanpa sepengetahuan pemilik perangkat. ThreatFabric menemukan daftar 42 aplikasi keuangan yang menjadi sasaran Hirudo. Delapan aplikasi perbankan Indonesia dalam daftar tersebut telah memiliki berkas paket aplikasi Android (APK) pengganti yang dirancang secara khusus.

Ketika mendeteksi aplikasi bank yang ditargetkan, malware menampilkan pemberitahuan pembaruan palsu dan berusaha meyakinkan korban untuk menghapus aplikasi resmi. Setelah itu, malware mencoba memasang versi yang telah dimodifikasi dengan nama paket dan nomor versi yang sama agar menyerupai aplikasi asli. Proses penggantian tersebut tidak sepenuhnya otomatis.

Android mengharuskan aplikasi dengan tanda tangan digital berbeda dipasang setelah aplikasi sebelumnya dihapus, sehingga pengguna masih memiliki kesempatan untuk menghentikan proses tersebut. Setelah terpasang, aplikasi berbahaya menggunakan teknik hooking berbasis YAHFA dan Dobby untuk memanipulasi pemeriksaan keamanan. Pemeriksaan yang menjadi sasaran mencakup tanda tangan digital, Accessibility, perekaman layar, dan Google Play Integrity.

Selain menyasar aplikasi perbankan, Hirudo dapat mencuri informasi login dan PIN transaksi melalui halaman pembayaran palsu. Malware ini juga mampu membaca SMS, mengumpulkan informasi pembuka kunci layar, memantau aktivitas layar secara langsung menggunakan WebRTC, serta mengakses kamera depan dan belakang setelah memperoleh izin yang diperlukan.

ThreatFabric menemukan ribuan catatan kredensial dalam infrastruktur yang terkait dengan Hirudo. Namun, laporan tersebut belum memastikan jumlah korban sebenarnya, termasuk di Indonesia. Ancaman Hirudo tidak terbatas pada Indonesia.

Menurut temuan ThreatFabric, malware ini juga menyasar layanan keuangan di China, India, Meksiko, Maroko, dan Thailand. Keberadaan aplikasi perbankan dalam daftar sasaran tidak serta-merta membuktikan bahwa sistem bank terkait telah berhasil ditembus. Serangan ini terutama menargetkan perangkat Android milik nasabah, bukan menjadi bukti bahwa sistem perbankan tersebut telah dibobol.

Pengguna dapat mengurangi risiko dengan mengunduh aplikasi melalui Google Play Store atau sumber resmi, menghindari pemasangan APK dari tautan mencurigakan, serta tidak memberikan izin Accessibility kepada aplikasi yang tidak membutuhkannya. Mengaktifkan Google Play Protect dan memperbarui sistem Android juga termasuk langkah perlindungan yang disarankan.

Pengguna juga perlu mewaspadai permintaan pembaruan yang mencurigakan dan tidak langsung menghapus aplikasi perbankan resmi karena instruksi semacam itu. Jika menemukan transaksi yang tidak dikenal atau menduga perangkat terinfeksi, pengguna disarankan menghubungi bank dan menggunakan perangkat lain yang tepercaya untuk mengganti kata sandi.