Lo pernah periksa menu pengaturan ponsel buat lihat apakah ada profil kerja mencurigakan yang nggak pernah lo buat sendiri? Kalau belum, ini saatnya waspada, karena ada malware banking Work Profile yang sudah menyusupi 1.469 perangkat dan berhasil mencuri 1.281 kredensial login dengan estimasi kerugian mencapai 960 ribu dolar. Ancaman ini bukan isapan jempol, tapi hasil riset resmi dari Group-IB yang dipublikasikan pada 9 September 2026. Gue bakal bongkar gimana modus ini bekerja dan kenapa fitur yang seharusnya melindungi data kerja lo justru dijadikan tempat persembunyian sempurna buat malware.
Fitur yang Harusnya Melindungi Lo, Malah Jadi Tempat Sembunyi Malware
Work Profile sebenarnya adalah fitur bawaan Android yang dirancang buat memisahkan aplikasi dan data pekerjaan dari data pribadi dalam satu perangkat yang sama. Tujuannya baik, mulai dari isolasi data yang memisahkan secara tegas antara urusan kerja dan pribadi, keamanan tinggi buat melindungi informasi sensitif perusahaan, sampai memudahkan tim IT dalam manajemen aplikasi pekerjaan karyawan.
Tapi justru di titik inilah Gigabud Trojan menemukan celahnya. Malware perbankan ini memanfaatkan kepercayaan sistem terhadap Work Profile untuk menyembunyikan aplikasi bank palsu, sehingga sulit terlacak oleh pengguna maupun sistem keamanan ponsel itu sendiri. Pelaku di balik malware ini diidentifikasi sebagai kelompok GoldFactory threat actor, yang operasinya sudah menyasar sebelas negara, termasuk Indonesia.
Dari sinilah cara Gigabud sembunyi di Work Profile Android mulai terungkap, dan ternyata triknya jauh lebih licik dari yang kebanyakan orang bayangkan.
Vwork, Aplikasi Kedua yang Jadi Kunci Seluruh Serangan
Supaya bisa bersembunyi di Work Profile, Gigabud nggak bekerja sendirian. Ia memasang aplikasi kedua bernama Vwork malware, yang tugasnya membuat Work Profile buatan, lalu menempatkan aplikasi bank palsu di Work Profile tersebut. Yang bikin miris, Vwork ini sebenarnya hasil modifikasi dari alat open source bernama Shelter open-source dimodifikasi malware, yang fungsi pemeriksaan keamanannya sengaja dihapus oleh pengembang Gigabud agar bisa dikendalikan dari jarak jauh.
Dengan cara ini, Vwork bisa mengkloning aplikasi perbankan asli dan menaruh versi palsunya ke dalam lingkungan kerja yang terlihat sah di mata sistem. Taktik inilah yang membuat malware lolos dari pemindai aplikasi bank, karena pemeriksaan keamanan konvensional hanya mengecek area profil utama, bukan area Work Profile yang memang dirancang terisolasi dari pengawasan rutin.
Hasil dari kloning aplikasi perbankan oleh malware ini sangat merugikan, karena korban mengira sedang membuka aplikasi bank resminya sendiri, padahal semua yang dimasukkan sudah berada dalam kendali penyerang.
Enam Langkah Serangan dari Unduhan Pertama Sampai Uang Lo Raib
Seluruh proses ini berjalan lewat enam tahapan yang cukup sistematis. Dimulai ketika korban terkecoh dan mengunduh aplikasi berbahaya, lalu Gigabud langsung meminta izin Accessibility Service disalahgunakan dengan dalih fungsi tertentu yang terlihat wajar. Begitu izin ini diberikan, terjadilah pengambilalihan perangkat lewat izin aksesibilitas, di mana ponsel korban mulai dikendalikan dari jarak jauh tanpa disadari pemiliknya.
Setelah kendali penuh didapat, Vwork otomatis membuat lingkungan Work Profile baru, lalu aplikasi bank tiruan ditanamkan tepat di dalamnya. Tahap terakhir adalah pencurian kredensial lewat aplikasi perbankan palsu, di mana data login yang dimasukkan korban langsung jatuh ke tangan pelaku, dan transaksi keuangan ilegal pun dijalankan tanpa sepengetahuan korban sama sekali.
Rangkaian enam langkah ini menjelaskan kenapa kerugian finansial 960 ribu dolar bisa terjadi dalam skala yang cukup besar, mengingat seluruh proses berjalan otomatis begitu izin aksesibilitas berhasil didapatkan oleh malware.
Cara Sederhana Memutus Rantai Serangan Sebelum Kejadian
Untungnya, ada beberapa langkah konkret yang bisa langsung lo terapkan buat mencegah ini terjadi di perangkat lo sendiri. Pertama, selalu unduh aplikasi hanya dari Google Play Store resmi, dan hindari risiko instal APK dari sumber tidak dikenal yang jadi pintu masuk utama hampir semua kasus serupa. Kedua, biasakan tolak izin aksesibilitas aplikasi mencurigakan, apalagi kalau aplikasi tersebut sebenarnya nggak membutuhkan fitur itu buat berfungsi normal.
Ketiga, aktifkan autentikasi dua faktor perbankan mobile di semua layanan bank yang lo pakai, supaya ada lapisan perlindungan tambahan kalau kredensial lo sampai bocor. Keempat, rutin periksa Work Profile di pengaturan ponsel untuk memastikan nggak ada profil kerja asing yang muncul tanpa sepengetahuan lo. Jangan lupa juga selalu perbarui sistem operasi Android dan seluruh aplikasi ke versi terbaru, serta gunakan solusi keamanan seluler yang terpercaya.
Sekarang Giliran Lo yang Bertindak
Ancaman ini sudah terbukti nyata lewat riset Group-IB, bukan sekadar teori yang bisa lo abaikan begitu saja. Buka sekarang juga menu pengaturan ponsel lo, cari bagian Work Profile, dan pastikan nggak ada profil kerja yang nggak lo kenali di sana. Cabut semua izin aksesibilitas yang diberikan ke aplikasi yang nggak jelas fungsinya, aktifkan autentikasi dua faktor di aplikasi bank lo, dan kalau ada transaksi atau aktivitas mencurigakan, segera laporkan ke pihak bank sebelum kerugian finansial yang lebih besar menimpa lo seperti yang sudah dialami ribuan korban Gigabud Trojan lainnya.
