Aplikasi Palsu Google Play Sebarkan Malware Finansial Albiriox

Dunia keamanan siber kembali digemparkan oleh kemunculan sebuah malware Android baru bernama Albiriox. Berbeda dari malware biasa yang hanya mencuri data atau menampilkan iklan nakal, Albiriox berada pada level yang jauh lebih berbahaya. Malware ini dirancang untuk mengambil alih perangkat secara penuh, melakukan penipuan langsung di dalam aplikasi yang sah, dan mengendalikannya secara real-time seolah-olah pelaku memegang ponsel korban di tangannya.

Yang lebih mengkhawatirkan, Albiriox dijual dengan model malware-as-a-service (MaaS) — artinya siapa pun, termasuk pelaku kejahatan tanpa kemampuan teknis, bisa menyewa malware ini dengan biaya tertentu dan langsung menggunakannya untuk tindakan kriminal.

Malware Finansial dengan Target Lebih dari 400 Aplikasi

Menurut laporan dari tim peneliti keamanan digital Cleafy, Albiriox membawa daftar “sasaran tembak” yang telah diprogram secara permanen di dalam kodenya. Daftar tersebut mencakup lebih dari:

• Aplikasi mobile banking
• Platform fintech
• Dompet digital
• Aplikasi pembayaran
• Bursa kripto
• Platform trading online

Dengan mendukung begitu banyak aplikasi, Albiriox menggambarkan bagaimana dunia kejahatan siber kini semakin fokus menyerang sektor finansial yang menjadi pusat aktivitas ekonomi digital.

Para peneliti menegaskan bahwa Albiriox mampu melakukan on-device fraud (ODF), yaitu penipuan yang dilakukan langsung di perangkat korban. Dengan teknik ini, pelaku dapat melewati sistem keamanan seperti autentikasi dua faktor dan deteksi penipuan berbasis server, karena seluruh aktivitas dilakukan pada perangkat yang sah dan dalam sesi login asli milik korban.

Disebarkan Melalui Dropper Berpura-pura sebagai Aplikasi Resmi
Albiriox tidak muncul begitu saja di perangkat pengguna. Malware ini didistribusikan melalui:

• Aplikasi dropper
• Rekayasa sosial
• Situs palsu mirip Google Play Store
• Pesan SMS dengan link berbahaya

Salah satu kampanye awalnya menerapkan tipu daya yang sangat meyakinkan di Austria. Pengguna menerima SMS dalam bahasa Jerman yang berisi tautan menuju halaman Google Play palsu untuk mengunduh aplikasi PENNY Angebote & Coupons, sebuah aplikasi yang sebenarnya populer di negara tersebut.

Ketika pengguna menekan tombol Install, mereka justru mengunduh APK dropper berbahaya. Setelah dijalankan, aplikasi palsu itu meminta izin tambahan untuk menginstal aplikasi lain dengan dalih:

“Pembaruan sistem diperlukan untuk meningkatkan pengalaman Anda.”
Jika izin diberikan, Albiriox pun terpasang dan mulai menjalankan misinya secara diam-diam.

Kontrol Jarak Jauh Real-Time Menggunakan VNC

Hal yang membuat Albiriox lebih menakutkan adalah kemampuannya memberi akses penuh kepada pelaku dari jarak jauh. Malware ini memanfaatkan koneksi TCP socket tanpa enkripsi untuk menghubungi server command-and-control (C2). Melalui koneksi tersebut, pelaku bisa melakukan berbagai tindakan seperti:

• Mengendalikan layar dengan teknologi Virtual Network Computing (VNC)
• Mengambil dan mencuri data sensitif di perangkat
• Menampilkan layar hitam atau gelap agar korban tidak menyadari aktivitas yang sedang terjadi
• Mengatur volume agar notifikasi transaksi tidak terdengar

Bayangkan pelaku bisa membuka aplikasi mobile banking, melakukan transfer, memverifikasi transaksi, dan semuanya tampak normal dari sisi server bank.

Melewati Proteksi Keamanan Aplikasi Banking

Banyak aplikasi keuangan telah menerapkan fitur keamanan FLAG_SECURE, yang mencegah:

• Screenshot
• Perekaman layar
• Screen mirroring

Namun Albiriox memanfaatkan layanan aksesibilitas Android untuk merekam seluruh elemen antarmuka pengguna secara lengkap, tanpa harus menangkap layar secara langsung.

“Dengan mekanisme ini, Albiriox dapat melihat setiap elemen antarmuka hingga tingkat node, sambil tetap menghindari semua proteksi keamanan aktivitas screen-capture,” jelas Cleafy.

Itulah alasan malware ini begitu sulit dideteksi baik oleh aplikasi keamanan maupun pengguna.

Overlay Palsu untuk Pencurian Kredensial

Sama seperti trojan perbankan kelas atas lainnya, Albiriox mampu menampilkan overlay palsu di atas aplikasi target yang dikunjungi pengguna. Misalnya:

• Form login palsu yang menyerupai aplikasi banking
• Notifikasi pembaruan sistem palsu
• Layar hitam saat pelaku mengoperasikan perangkat dari jarak jauh

Saat pengguna memasukkan PIN, password, atau kode OTP, semua data tersebut akan langsung dikirimkan ke pelaku tanpa menimbulkan kecurigaan.

Dijual Seharga $720 per Bulan: Ancaman untuk Semua Negara

Albiriox pertama kali dipromosikan dalam lingkaran tertutup pada September 2025 sebelum resmi menjadi layanan MaaS sebulan setelahnya. Harga sewanya tidak murah:

💰 $720 per bulan
(lebih dari Rp 11 juta)

Namun bagi pelaku kriminal, nilai ini sangat kecil dibandingkan potensi pendapatan dari pencurian dana bank dan kripto.

Investigasi juga menunjukkan bahwa operator Albiriox kemungkinan besar berasal dari komunitas berbahasa Rusia, berdasarkan aktivitas di forum gelap dan pola penggunaan infrastruktur jaringan.

Google menyatakan bahwa varian Albiriox yang telah teridentifikasi telah diblokir oleh Google Play Protect. Tetapi ancaman tidak berhenti di sini — varian baru diperkirakan terus muncul.

 
RadzaRat: Malware MaaS Lain yang Meningkatkan Risiko

Albiriox bukan satu-satunya ancaman Android terbaru. Peneliti juga menemukan bergeraknya sebuah malware lain bernama RadzaRat, yang juga dijual sebagai layanan MaaS.

Berbeda dari Albiriox yang menyasar sektor finansial, RadzaRat menyamar sebagai aplikasi manajemen file, tetapi sebenarnya mampu:

• Mengakses seluruh sistem file
• Mengunduh data ponsel korban
• Mencatat ketikan (keylogging)
• Menggunakan Telegram sebagai sistem C2
• Menyala otomatis setiap perangkat di-restart

RadzaRat diiklankan pada 8 November 2025, dikembangkan oleh seseorang dengan alias Heron44, dan dirancang untuk bisa digunakan bahkan oleh pemula dalam dunia cybercrime.

Jaringan Malware Lain: GPT Trade dan BTMOB

Ancaman lain yang ditemukan sejalan dengan kasus ini adalah penyebaran aplikasi palsu bernama GPT Trade yang didistribusikan melalui halaman mirip Google Play.

Aplikasi tersebut ternyata menyebarkan:

• Malware BTMOB
• Modul persistensi UASecurity Miner

BTMOB dikenal dapat:

• Membuka kunci perangkat
• Mengambil alih sesi login aplikasi
• Merekam ketikan pengguna
• Mengendalikan perangkat jarak jauh
• Mencuri kredensial secara otomatis menggunakan injeksi UI

Semua aktivitas tersebut kembali dilakukan melalui penyalahgunaan layanan aksesibilitas.

Selain itu, terdapat pula jaringan malware Android berbahaya yang memanfaatkan konten dewasa sebagai umpan, dengan teknik distribusi canggih seperti:

• Obfuscation dan enkripsi tingkat tinggi
• Infrastruktur backend terpisah yang dinamis
• Proses verifikasi otomatis untuk menghindari deteksi analis keamanan

Pakar dari Palo Alto Networks Unit 42 menggambarkan metode ini sebagai:

“Arsitektur multi-tahap yang dirancang profesional untuk menghindari deteksi dan mempersulit analisis.”
 

Ancaman ODF Semakin Nyata

Kemunculan Albiriox, RadzaRat, dan jaringan malware Android lainnya menunjukkan satu hal:

Kejahatan siber kini bergerak ke arah penipuan di perangkat (on-device fraud) yang jauh lebih sulit dideteksi.
Dengan kemampuan:

• Kendali jarak jauh (VNC)
• Overlay palsu pencuri data
• Otomatisasi berbasis aksesibilitas
• Target spesifik pada aplikasi finansial

Malware ODF dapat melumpuhkan sistem keamanan tradisional bank dan dompet digital.

Bagaimana agar tetap aman?
Berikut beberapa langkah perlindungan:

• Gunakan hanya aplikasi dari Play Store resmi
• Jangan pernah mengizinkan pemasangan dari sumber tak dikenal
• Aktifkan Google Play Protect
• Waspadai permintaan izin aksesibilitas yang tidak jelas
• Jangan klik tautan dari SMS mencurigakan
• Jangan instal APK dari situs yang tidak terverifikasi
• Gunakan autentikasi biometrik jika tersedia
• Jika ada aktivitas mencurigakan di aplikasi bank, segera hubungi pihak bank

Albiriox bukan sekadar malware baru — ia adalah ilustrasi masa depan kejahatan finansial digital. Dengan kapabilitas kendali penuh atas perangkat dan kemampuan untuk bersembunyi dari sistem keamanan modern, ancaman ini bisa menjadi awal dari gelombang besar serangan penipuan berbasis perangkat di seluruh dunia.

Kita memasuki era ketika perangkat pribadi bukan hanya target pembobolan data, tetapi juga alat kejahatan yang dikendalikan dari jauh tanpa sepengetahuan kita.

Maka, kewaspadaan dan edukasi pengguna menjadi pertahanan pertama yang paling penting.