Gigabud dan aplikasi bank hasil kloning: apa artinya bagi bank di Indonesia

Pada 9 September 2026, Group-IB menerbitkan riset tentang Vwork, aplikasi pendamping yang dipasang setelah trojan perbankan Android Gigabud untuk mengkloning aplikasi bank. Group-IB mengaitkan kampanye ini dengan kelompok GoldFactory.¹ Indonesia termasuk pasar yang menjadi sasaran, dan satu-satunya yang dirinci angkanya dalam laporan tersebut. Antara Februari dan Juli 2026, peneliti mengamati sekitar 1.469 perangkat yang disusupi dan 1.281 login yang berpotensi disusupi di Indonesia, dengan estimasi kerugian sekitar USD 960.000. Sekitar selusin bank di Indonesia, baik BUMN maupun swasta, menjadi sasaran.¹²

Dibandingkan skala penipuan di Indonesia, kerugiannya relatif kecil. Yang penting adalah tekniknya.

Cara serangan ini bekerja

1. Umpan. Korban digiring, lewat situs phishing, aplikasi pesan, dan media sosial, untuk memasang aplikasi palsu yang menyamar sebagai layanan pemerintah, otoritas pajak, atau maskapai, dari luar Play Store.
2. Izin. Gigabud meminta akses Accessibility, izin menampilkan overlay di atas aplikasi lain, dan pengecualian dari optimasi baterai. Setelah itu, malware mengirim daftar aplikasi yang terpasang ke operatornya.
3. Kredensial. Layar login palsu menangkap kredensial perbankan. Overlay tak terlihat menangkap kode kunci layar ponsel.
4. Kloning. Gigabud memasang Vwork, versi modifikasi dari sebuah perangkat lunak open source, yang membuat work profile Android dan mengkloning aplikasi bank korban ke dalamnya.
5. Pencurian. Operator mengendalikan ponsel secara langsung lewat Accessibility dan melakukan transfer dari aplikasi hasil kloning, sementara layar hitam menyembunyikan aktivitas tersebut dari korban.¹²

Mengapa work profile penting

Android memisahkan aplikasi di work profile dari profil pribadi. Menurut Group-IB, penyerang memanfaatkan hal ini untuk memisahkan bukti dari kejahatannya: pemeriksaan malware berjalan di tempat malware berada, sementara transaksi penipuan terjadi di profil yang tampak bersih. Hal ini memutus hubungan antara peringatan malware dan fraud, sehingga transaksi penipuan "dapat lolos dari pemantauan dan berujung pada pencairan dana tanpa izin" (terjemahan kami).¹

Bagi bank, implikasinya cukup mengkhawatirkan: "kami memindai aplikasi berbahaya dari dalam aplikasi kami" tidak sama dengan "kami tahu sesi ini aman." Sebuah kontrol bisa bekerja persis sesuai desainnya, tetapi tetap tidak menangkap fraud tersebut.

Pertanyaan yang layak diajukan untuk kontrol Anda saat ini

• Apakah instalasi hasil kloning terlihat sebagai perangkat baru? Jika aplikasi hasil kloning terdaftar sebagai instalasi baru, device binding dan pengecekan first-seen adalah salah satu sinyal paling berguna yang Anda miliki. Jika binding ikut terbawa diam-diam, sinyal itu hilang.
• Apakah Anda melihat penyalahgunaan Accessibility dan overlay saat transfer terjadi? Group-IB merekomendasikan pemblokiran transaksi dari perangkat yang memiliki aplikasi tak dikenal dengan akses Accessibility aktif.¹ Rekomendasi itu hanya efektif jika sinyalnya sampai ke proses keputusan tepat waktu.
• Apakah Anda melihat pola sesinya? Pengendalian jarak jauh secara langsung meninggalkan jejak pada ritme waktu dan urutan aksi. Group-IB juga merekomendasikan pemantauan pola waktu dan urutan aksi yang tidak biasa, di samping deteksi berbasis signature.¹
• Apakah login terikat pada perangkat tepercaya? Kredensial yang dicuri lewat overlay hanya separuh serangan jika tidak bisa dipakai dari instalasi asing tanpa step-up.