BY PUNGGAWA CYBERSECURITY MEDIA CENTER
Lanskap keamanan siber mobile kembali diuji dengan kemunculan Hirudo, varian Remote Access Trojan (RAT) sekaligus banking trojan berbasis Android yang kapabilitasnya melampaui malware pada umumnya. Penemuan ini pertama kali diungkap oleh tim riset ThreatFabric. Mereka menemukan bahwa Hirudo dirancang bukan sekadar untuk mencuri data sensitif, melainkan untuk mengambil alih kendali perangkat dan mengganti aplikasi perbankan resmi dengan salinan tiruan yang telah dimodifikasi (trojanized copies), sekaligus mematikan mekanisme keamanan bank dari dalam.
Bagi institusi perbankan dan penyedia layanan keuangan, kemunculan Hirudo menjadi sinyal penting bahwa pengamanan di sisi klien (client-side) saja sudah tidak lagi cukup untuk membendung serangan siber modern. Terdapat tujuh hal yang perlu diketahui oleh tim keamanan dan manajemen risiko perbankan, di antaranya:
1. Cara Hirudo Menyusup ke Perangkat Korban
Hirudo menyebar lewat aplikasi umpan (dropper) yang menyamar sebagai aplikasi belanja, hiburan, atau drama pendek. Tampilannya normal dan berfungsi seperti biasa, sehingga korban tidak curiga. Namun, diam-diam, aplikasi ini memasang payload Hirudo, kemudian memunculkan prompt “update” palsu untuk mengarahkan korban ke sideloading APK dari luar toko resmi. Begitu payload aktif dan izin Accessibility Services disetujui, serangan sesungguhnya baru dimulai.
2. Memantau dan Mencuri dari Dalam
Dengan Accessibility Services di tangan, Hirudo bisa mencatat setiap ketukan keyboard, merekam layar secara live lewat WebRTC, mengakses kamera, dan menyadap kode OTP/2FA. Semua berjalan tanpa tanda yang terlihat di layar.
3. Mengganti Aplikasi Asli
Hal ini yang membedakan Hirudo dari banking trojan sebelumnya. Bukan sekadar menumpuk (overlay) layar palsu di atas aplikasi asli, Hirudo mencopot aplikasi perbankan asli dan menggantinya dengan versi yang sudah ditambal, dengan nama dan versi yang sama. Teknik ini sudah ditemukan menyasar belasan aplikasi finansial di berbagai negara, termasuk beberapa aplikasi perbankan Indonesia sebagai target replikasi.
4. Transaksi Dijalankan dari Jarak Jauh
Pelaku mengendalikan perangkat korban secara real-time lewat server Command & Control (C2), menjalankan transaksi menggunakan sesi yang sedang login. Dari sisi bank, transaksi ini terlihat sah, seperti datang dari perangkat dan kredensial yang valid.
5. Manipulasi Verifikasi Keamanan
Ini adalah bagian paling berbahaya, yakni Hirudo bisa membelokkan permintaan verifikasi integritas perangkat (seperti Play Integrity) ke server penyerang, lalu mengirim balik hasil “aman” palsu. Sertifikat asli disembunyikan, daftar layanan Accessibility yang aktif dikosongkan, flag anti-screenshot dilepaskan. Artinya, sinyal keamanan yang hanya diperiksa di perangkat sudah tidak bisa dipercaya.
6. Ketahui Dampaknya!
Ketika aplikasi perbankan berhasil ditiru dan kredensial dicuri, kerugian finansial akan langsung berdampak pada reputasi bank. Pola serangannya pun berubah, bukan lagi phishing pasif, melainkan pengambilalihan dari dalam sistem operasi itu sendiri.
7. Empat Rekomendasi Mitigasi bagi Bank dan Pengembang Aplikasi
- Lakukan validasi di server, bukan hanya di perangkat: Jangan percaya status integritas yang dikirim dari HP. Verifikasi ulang token dan sesi di backend, termasuk cek status revoke sertifikat.
- Deteksi perilaku anomali: Waktu transfer tidak wajar, lokasi mencurigakan, pola interaksi aneh, meski kredensial yang masuk valid.
- Risk scoring dinamis: Masukkan kondisi kesehatan perangkat sebagai salah satu faktor skor risiko sebelum transaksi besar diotorisasi.
- Pengawasan ekstra di titik rawan: Tambah lapisan konfirmasi untuk penampahan rekening tujuan baru, penggantian nomor telepon, dan reset kata sandi, titik yang paling sering disasar RAT jenis ini.
Kesimpulan
Ancaman RAT Hirudo menjadi bukti nyata evolusi serangan siber perbankan seluler yang semakin cerdik dan merusak. Keberhasilan malware ini dalam memalsukan aplikasi serta memanipulasi verifikasi keamanan di sisi klien mempertegas bahwa institusi keuangan tidak bisa lagi mengandalkan validasi lokal semata.
Oleh karena itu, perbankan sekarang membutuhkan validasi berlapis yang terintegrasi dari ujung ke ujung. Di sinilah Punggawa Cybersecurity membantu institusi keuangan membangun ketahanan siber secara menyeluruh, mulai dari:
- VAPT (Vulnerability Assessment & Penetration Testing), khusus aplikasi mobile dan API perbankan untuk menemukan celah sebelum dieksploitasi,
- CSOC 24/7: dengan analitik perilakku berbasis SIEM/SOAR dan AI/ML untuk mendeteksi anomali transaksi secara real-time,
- Incident Response & CSIRT: retainer untuk penanganan cepat bila insiden sudah terjadi.
FAQ (Frequently Asked Questions)
Apa itu RAT “Hirudo”?
Hirudo adalah trojan perbankan dan Remote Access Trojan (RAT) berbasis Android yang mampu mengontrol perangkat korban dari jarak jauh serta mengganti aplikasi perbankan asli dengan versi palsu.
Bagaimana cara malware Hirudo masuk ke perangkat Android?
Malware ini umumnya menyebar melalui teknik rekayasa sosial, seperti unduhan file APK dari situs pihak ketiga yang tidak resmi atau aplikasi umpan yang menyamar sebagai aplikasi utilitas.
Mengapa penanganan Hirudo memerlukan validasi sisi server (Server-Side)?
Karena Hirudo dapat memanipulasi dan memalsukan hasil pemeriksaan integritas di perangkat pengguna (sisi klien). Validasi di sisi server memastikan bahwa keputusan keamanan diambil berdasarkan data independen yang tidak dapat dimanipulasi oleh malware di perangkat.
Bagaimana Punggawa Cybersecurity dapat membantu perbankan dalam memitigasi ancaman Hirudo?
Punggawa Cybersecurity dapat membantu institusi keuangan melalui layanan VAPT khusus mobile dan API perbankan untuk menemukan kerentanan sistem, pengawasan CSOC 24/7 berbasis AI/ML untuk mendeteksi anomali transaksi secara real-time, serta tim Incident Response & CSIRT untuk respon cepat saat insiden terjadi.
