Malware Hirudo Sasar Delapan Aplikasi Mobile Banking Indonesia

Pengguna Android di Indonesia menghadapi ancaman malware Hirudo yang dapat mencuri PIN transaksi dan mengganti aplikasi perbankan resmi dengan versi berbahaya. Menurut laporan perusahaan keamanan siber ThreatFabric yang diterbitkan pada 14 Oktober 2026, malware ini menargetkan delapan aplikasi mobile banking dari tujuh bank di Indonesia melalui perangkat milik nasabah.

Dilansir dari Detik iNET, temuan tersebut menunjukkan bahwa Hirudo tidak hanya berupaya mengambil informasi sensitif, tetapi juga memanipulasi aplikasi perbankan untuk melewati pemeriksaan keamanan. ThreatFabric menemukan delapan aplikasi perbankan Indonesia yang telah disiapkan versi penggantinya, meski nama bank yang menjadi sasaran tidak diungkapkan.

ThreatFabric menjelaskan bahwa malware tersebut berusaha mengganti aplikasi resmi dengan salinan yang telah dimodifikasi untuk menonaktifkan mekanisme perlindungan internal bank.

"Hirudo berupaya mengganti aplikasi perbankan itu sendiri dengan salinan yang dimodifikasi, yang secara diam-diam menonaktifkan pemeriksaan keamanan milik bank dari dalam aplikasi," jelas ThreatFabric.

Hirudo termasuk trojan akses jarak jauh atau remote access trojan (RAT), yang memungkinkan penyerang mengendalikan perangkat korban dari jarak jauh. Berdasarkan temuan ThreatFabric, malware ini juga memiliki daftar 42 aplikasi keuangan yang menjadi sasaran.

Penyebarannya memanfaatkan aplikasi yang menyamar sebagai layanan belanja dan hiburan, termasuk Shopora, 1V1 X, ZoyaTV, dan KoiShort. Sebagian aplikasi bahkan menyediakan katalog belanja atau konten hiburan sungguhan sehingga tampak seperti layanan normal.

Ketika aplikasi dibuka, pengguna dapat menerima pemberitahuan pembaruan palsu yang mendorong pemasangan komponen berbahaya tambahan. Hirudo kemudian meminta izin sensitif, termasuk Accessibility pada Android, yang dapat dimanfaatkan untuk membaca layar, menekan tombol, dan menjalankan perintah tanpa sepengetahuan pemilik perangkat.

Untuk mengambil alih aplikasi perbankan, Hirudo menampilkan pemberitahuan pembaruan palsu dan berusaha membuat korban menghapus aplikasi resmi. Malware selanjutnya mencoba memasang berkas aplikasi Android atau APK yang telah dimodifikasi menggunakan nama paket dan nomor versi yang sama.

Namun, penggantian tersebut tidak sepenuhnya otomatis. Android mengharuskan aplikasi dengan tanda tangan digital berbeda dipasang setelah aplikasi asli dihapus, sehingga pengguna masih memiliki kesempatan untuk menghentikan proses tersebut.

Setelah terpasang, aplikasi berbahaya menggunakan teknik hooking berbasis YAHFA dan Dobby untuk memanipulasi pemeriksaan tanda tangan digital, izin Accessibility, perekaman layar, serta Google Play Integrity. Teknik ini ditujukan agar aplikasi yang telah diubah tampak seolah-olah memenuhi pemeriksaan keamanan.

Selain menyasar aplikasi perbankan, Hirudo dapat mencuri informasi login dan PIN transaksi melalui halaman pembayaran palsu. Menurut temuan ThreatFabric, malware ini juga mampu membaca SMS, mengumpulkan informasi pembuka kunci layar, memantau aktivitas layar melalui WebRTC, serta mengakses kamera depan dan belakang setelah memperoleh izin yang diperlukan.

ThreatFabric turut menemukan ribuan catatan kredensial dalam infrastruktur yang berkaitan dengan Hirudo. Namun, jumlah korban sebenarnya, termasuk di Indonesia, belum diketahui berdasarkan laporan tersebut.

Ancaman Hirudo juga tidak terbatas pada Indonesia. Malware ini turut menargetkan layanan keuangan di China, India, Meksiko, Maroko, dan Thailand. Masuknya aplikasi bank ke dalam daftar sasaran tidak serta-merta berarti sistem perbankan terkait telah berhasil ditembus, karena serangan terutama menyasar perangkat Android milik nasabah.

Pengguna dapat mengurangi risiko dengan mengunduh aplikasi dari Google Play Store atau sumber resmi, menghindari pemasangan APK dari tautan mencurigakan, serta tidak memberikan izin Accessibility kepada aplikasi yang tidak memerlukannya. Pengaktifan Google Play Protect dan pembaruan sistem Android juga menjadi langkah perlindungan yang disarankan.

Pengguna juga perlu mewaspadai permintaan pembaruan mencurigakan yang meminta penghapusan aplikasi perbankan resmi. Jika menemukan transaksi yang tidak dikenal atau menduga perangkat terinfeksi, pengguna disarankan menghubungi bank dan menggunakan perangkat lain yang tepercaya untuk mengganti kata sandi.