LAMPUNG — Serangan malware perbankan Android kembali menemukan modus baru. Alih-alih langsung mencuri data, ToxicPanda 2.0 memakai fitur VPN di ponsel korban untuk memutus komunikasi perangkat dengan Google Play. Dengan begitu, lapisan keamanan bawaan Android tidak sempat bereaksi saat malware menginstal payload berbahaya.
Laporan dari firma keamanan seluler Zimperium mengungkap bahwa trik ini efektif karena permintaan izin VPN terlihat wajar. Banyak aplikasi legal, termasuk aplikasi VPN populer, menggunakan izin yang sama untuk merutekan lalu lintas data. ToxicPanda meniru pola tersebut, tetapi memakai aksesnya untuk memblokir Google Play dan Google Play Services.
Modus Kerja: Dari Izin VPN hingga Kendali Penuh Perangkat
ToxicPanda 2.0 beroperasi sebagai "dropper"—aplikasi yang menyelundupkan program tersembunyi kedua ke dalam perangkat. Setelah diinstal, malware menampilkan layar instalasi palsu dan meminta pengguna memberikan izin VPN. Permintaan ini tampak rutin, sehingga banyak pengguna menekan tombol "izinkan" tanpa curiga.
Izin tersebut kemudian dipakai untuk membuat antarmuka jaringan lokal yang berada di antara ponsel dan internet. Posisi ini memberi malware kendali penuh atas seluruh lalu lintas data yang melewati perangkat. Langkah berikutnya, ToxicPanda memblokir komunikasi dengan Google Play dan Google Play Services—mekanisme yang biasanya memverifikasi aplikasi, mengirim pembaruan, dan mengaktifkan Play Protect.
Dengan Google yang "dibutakan", malware mendekripsi payload yang tersembunyi di dalam filenya sendiri, menginstalnya, lalu meminta izin Accessibility Service untuk menggali lebih dalam. Akses ini memungkinkan malware membaca konten layar dan mengeksekusi perintah atas nama pengguna.
Eskalasi Kemampuan: 167 Perintah Jarak Jauh dan Overlay Palsu
Zimperium mencatat peningkatan drastis kemampuan ToxicPanda 2.0 dibanding varian sebelumnya. Kini malware mendukung 167 perintah jarak jauh dan dapat menampilkan layar login palsu di atas 349 aplikasi perbankan, dompet digital, dan kripto—melonjak dari hanya 16 aplikasi pada versi awal.
Modul terpisah dirancang untuk memanen PIN dari lebih dari 140 aplikasi keuangan memakai overlay transparan yang merekam ketukan layar. ToxicPanda juga bisa memalsukan layar kunci Android untuk mencuri PIN, pola, atau kata sandi. Yang lebih mengkhawatirkan, malware menyalahgunakan fitur Wireless Debugging (ADB) untuk mendapatkan akses level shell dan mengabulkan izin sendiri tanpa meminta konfirmasi pengguna.
ToxicPanda pertama kali muncul pada 2024 dan menyasar bank-bank Eropa. Malware serupa bernama Rokarolla juga dilaporkan menyerang ratusan aplikasi perbankan dan kripto dalam beberapa bulan terakhir.
Cara Melindungi Diri dari Serangan ToxicPanda
Pertahanan terbaik adalah mencegah malware masuk ke ponsel sejak awal. Hanya instal aplikasi dari Google Play Store resmi dan hindari sideload file APK dari tautan, iklan, atau situs pihak ketiga. Tautan VPN berbahaya bahkan pernah menyusup ke toko aplikasi resmi, jadi waspadai setiap permintaan izin VPN yang muncul tiba-tiba.
VPN tetap menjadi alat privasi yang berguna, tetapi kampanye ini mengingatkan bahwa izin tersebut memiliki kekuatan besar. Berikan izin VPN hanya kepada aplikasi yang benar-benar Anda percayai. Jika aplikasi meminta izin VPN tanpa alasan jelas—terutama aplikasi yang tidak berfungsi sebagai VPN—sebaiknya batalkan instalasi.
Pengguna Android di Indonesia perlu meningkatkan kewaspadaan, mengingat adopsi perbankan digital dan dompet elektronik yang tinggi di pasar lokal. Pastikan fitur Google Play Protect aktif dan periksa ulang daftar aplikasi yang memiliki izin akses khusus secara berkala melalui menu pengaturan keamanan perangkat.
