Analisis Malware Android: Dari APK Mencurigakan hingga Laporan Teknis

Pendahuluan

Tidak semua aplikasi Android yang beredar di luar Play Store aman digunakan. Dalam beberapa tahun terakhir, kami melihat peningkatan signifikan jumlah APK berbahaya yang beredar di Indonesia, mulai dari aplikasi pinjaman online palsu, aplikasi perbankan tiruan, hingga RAT (Remote Access Trojan) yang disembunyikan di dalam aplikasi yang tampak sah.^[10]

Kemampuan menganalisis APK yang dicurigai berbahaya menjadi keterampilan yang semakin penting, baik bagi tim security internal yang ingin memverifikasi keamanan sebuah aplikasi sebelum diizinkan di lingkungan korporat, maupun bagi responden insiden yang perlu memahami apa yang dilakukan malware setelah perangkat terinfeksi.

Artikel ini membahas pendekatan sistematis untuk menganalisis APK mencurigakan, mulai dari static analysis awal, dynamic analysis, penulisan signature deteksi, studi kasus keluarga malware nyata yang menyasar Indonesia, hingga penulisan laporan teknis.

Taksonomi Malware Android

Sebelum masuk ke teknik analisis, penting memahami bagaimana malware Android diklasifikasikan. Vendor keamanan seperti Kaspersky mengelompokkan objek berbahaya ke dalam kelas besar seperti Trojan, dengan subkelas yang lebih spesifik: Trojan-Banker yang menargetkan kredensial dan transaksi perbankan, Trojan-Spy yang berfokus pada eksfiltrasi data secara diam-diam, Trojan-Ransom yang mengenkripsi atau mengunci akses perangkat untuk tebusan, dan Trojan-SMS yang menyalahgunakan layanan pesan premium.^[12] Di luar kategori Trojan, ada pula AdWare yang mengganggu dengan iklan agresif dan RiskWare, yaitu aplikasi yang secara teknis legal namun berpotensi disalahgunakan.

MITRE ATT&CK for Mobile memformalkan taksonomi perilaku ini dari sudut pandang taktik dan teknik, dengan matriks yang mencakup dua belas taktik, termasuk Initial Access, Persistence, Device Access, dan Network-Based Effects.^[21] Memetakan temuan analisis ke taktik dan teknik ATT&CK memberi bahasa yang konsisten untuk mengomunikasikan kapabilitas malware ke tim lain, termasuk tim threat hunting yang mungkin perlu membangun deteksi berdasarkan pola perilaku yang ditemukan.

Mengapa Analisis Malware Android Relevan bagi Perusahaan Indonesia

Permukaan serangan melalui aplikasi Android di Indonesia sangat luas. Tingkat penetrasi smartphone yang tinggi, kebiasaan menginstal aplikasi dari sumber di luar Play Store, dan ekosistem fintech yang berkembang pesat menciptakan lingkungan yang menarik bagi pelaku ancaman. Riset industri mencatat maraknya aplikasi pinjaman predator berbasis Android yang menargetkan pengguna di Asia Tenggara, termasuk Indonesia, dengan modus pencurian data kontak dan galeri foto korban.^[10]

Beberapa skenario yang paling sering kami temui: karyawan yang menginstal aplikasi dari APK yang dikirim melalui WhatsApp tanpa verifikasi, aplikasi yang mengklaim sebagai versi premium gratis dari aplikasi populer namun berisi payload berbahaya, dan phishing yang diarahkan ke halaman unduh APK palsu yang meniru aplikasi perbankan resmi.

Fase 1: Persiapan Lingkungan Analisis

Analisis malware tidak boleh dilakukan di sistem produksi atau perangkat yang terhubung ke jaringan korporat. Lingkungan yang terisolasi adalah syarat utama.

Untuk static analysis, cukup menggunakan workstation yang terisolasi dari jaringan sensitif. Untuk dynamic analysis yang melibatkan eksekusi APK, ada dua pilihan utama: emulator Android seperti yang disediakan Android Studio, atau perangkat fisik yang didedikasikan untuk analisis dan terisolasi dari jaringan lain.

Perangkat fisik memberikan hasil yang lebih akurat karena sebagian malware yang lebih canggih bisa mendeteksi lingkungan emulator dan mengubah perilakunya. Namun untuk sebagian besar analisis, emulator sudah cukup dan jauh lebih mudah dikembalikan ke kondisi bersih.

Tools yang perlu disiapkan sebelum mulai: apktool^[4] dan jadx^[3] untuk decompilation, MobSF^[2] untuk automated analysis awal, Burp Suite untuk intercept traffic, serta Frida^[8] atau objection^[9] untuk dynamic instrumentation bila diperlukan.

Fase 2: Static Analysis Awal

Langkah pertama sebelum menyentuh konten APK adalah verifikasi hash file. Catat SHA-256 hash dari APK yang akan dianalisis, lalu cek hash tersebut di VirusTotal.^[1] Jika malware ini sudah dikenal, analis langsung mendapatkan konteks tentang keluarga malware, kapabilitas yang diketahui, dan IOC yang sudah terdokumentasi.

Jika hash tidak ditemukan di VirusTotal, bukan berarti APK aman. Bisa jadi ini varian baru, atau malware yang ditargetkan secara spesifik.

Pemeriksaan Manifest

AndroidManifest.xml adalah dokumen pertama yang harus diperiksa setelah decompilation. Manifest memberikan gambaran tentang apa yang diklaim dilakukan aplikasi dan apa yang dimintanya dari sistem.

Permission yang diminta adalah sinyal pertama.^[5] Aplikasi kalkulator yang meminta READ_CONTACTS, SEND_SMS, dan RECORD_AUDIO jelas merupakan red flag. Namun malware yang lebih canggih sering menyembunyikan niatnya dengan hanya meminta permission yang terlihat wajar untuk jenis aplikasi yang disamarkannya.

Komponen yang di-export menunjukkan activity, service, dan receiver yang bisa diakses dari aplikasi lain.^[6] Komponen yang di-export tanpa pembatasan yang tepat bisa menjadi entry point untuk eksploitasi.

Analisis Kode dan Tantangan Obfuscation

Dengan jadx, bytecode Dalvik bisa di-decompile menjadi Java yang cukup mudah dibaca untuk analisis.^[3] Pencarian yang paling efisien menggunakan kata kunci yang berkaitan dengan kapabilitas yang dicurigai.

Untuk malware yang mengumpulkan data, carilah penggunaan TelephonyManager, ContactsContract, SmsManager, dan LocationManager. Untuk malware yang berkomunikasi dengan C2, carilah URL hardcoded, penggunaan HttpURLConnection atau library HTTP lain, serta pola enkripsi yang digunakan. Untuk malware yang mencoba melakukan persistence, carilah penggunaan BOOT_COMPLETED receiver^[7] dan JobScheduler.

Tantangan terbesar dalam analisis kode nyata adalah obfuscation. Bahkan aplikasi legitimate secara rutin menggunakan R8, tool shrinking dan obfuscation resmi dari Android Gradle Plugin, yang mengganti nama class, field, dan method menjadi string pendek tak bermakna, sekaligus melakukan inlining method untuk mempersulit pembacaan.^[13] Malware yang lebih canggih sering melangkah lebih jauh dengan tool komersial seperti DexGuard, yang menambahkan enkripsi resource, virtualisasi kode, dan pemeriksaan RASP (Runtime Application Self-Protection) di atas obfuscation dasar.^[14] Dalam kasus seperti ini, analis biasanya mengandalkan kombinasi deobfuscator otomatis, analisis pola string yang masih plaintext seperti endpoint C2 yang tidak selalu terenkripsi, dan cross-reference terhadap versi APK lama dari keluarga malware yang sama yang mungkin belum diobfuskasi seketat versi terbaru.

Fase 3: Dynamic Analysis

Static analysis memberikan gambaran tentang apa yang bisa dilakukan malware. Dynamic analysis menunjukkan apa yang sebenarnya dilakukan saat berjalan.

Monitoring Traffic Jaringan

Dengan Burp Suite sebagai proxy dan certificate yang sudah diinstal di emulator, seluruh traffic HTTP dan HTTPS bisa diintersepsi dan dianalisis. Perhatikan endpoint apa yang dihubungi, data apa yang dikirim, apakah ada upaya berkomunikasi dengan IP yang mencurigakan, dan apakah ada teknik enkripsi tambahan di atas HTTPS.

Untuk malware yang menggunakan protokol non-HTTP, tool seperti Wireshark di level host bisa digunakan untuk menangkap seluruh traffic dari emulator.

Monitoring Sistem

Selain traffic jaringan, perhatikan juga perilaku di level sistem: file apa yang dibuat atau dimodifikasi, SharedPreferences apa yang disimpan, database SQLite apa yang dibuat, dan apakah ada upaya mengakses permission yang sensitif.

logcat adalah sumber informasi yang sering diremehkan.^[11] Banyak malware yang tidak sempurna meninggalkan debug log yang justru memberikan insight tentang apa yang sedang dilakukan.

Sandbox Otomatis untuk Analisis Skala Besar

Saat volume sampel yang perlu dianalisis meningkat, analisis manual satu per satu menjadi tidak praktis. Sandbox otomatis seperti CAPE, yang dikembangkan sebagai turunan dari Cuckoo Sandbox, memungkinkan eksekusi APK dalam lingkungan terisolasi secara otomatis sambil merekam traffic jaringan, system call, dan bahkan menjalankan dynamic YARA scan untuk mengekstrak konfigurasi malware dari memory saat runtime, termasuk pada malware yang dirancang untuk mendeteksi dan menghindari lingkungan sandbox.^[18]

Studi Kasus: Gigabud, Banking Trojan yang Menyasar Indonesia

Salah satu contoh nyata keluarga malware yang secara eksplisit menyasar pengguna Indonesia adalah Gigabud. Group-IB mendokumentasikan lebih dari 400 sampel Gigabud.RAT dan lebih dari 20 varian Gigabud.Loan, dengan modus menyamar sebagai lebih dari 99 institusi keuangan fiktif di Thailand, Indonesia, Vietnam, Filipina, dan Peru, yang disebarkan melalui smishing dan phishing bertema pinjaman atau pajak.^[19]

Yang membuat Gigabud RAT berbeda dari banking trojan Android pada umumnya adalah teknik evasion-nya. Malware ini baru mengaktifkan kapabilitas berbahayanya setelah korban benar-benar login, dan menggunakan screen recording alih-alih overlay HTML palsu yang lebih umum digunakan trojan sejenis untuk mencuri kredensial. Pendekatan ini membuatnya lebih sulit terdeteksi oleh mekanisme keamanan yang hanya memindai pola overlay yang sudah dikenal.

Menulis Signature Deteksi dan Berbagi Threat Intelligence

Temuan dari analisis satu sampel malware menjadi jauh lebih bernilai ketika diubah menjadi signature deteksi yang bisa digunakan untuk mengenali varian serupa di masa depan. YARA adalah standar de facto untuk keperluan ini, memungkinkan analis menulis rule berbasis pola string dan struktur biner yang menjadi ciri khas keluarga malware tertentu.^[15]

Untuk berbagi IOC dan konteks ancaman dengan tim lain atau komunitas yang lebih luas, platform seperti MISP menyediakan mekanisme untuk menyimpan, mengorelasikan, dan mensinkronkan indikator kompromi antar-instansi.^[16] Standar STIX untuk merepresentasikan informasi ancaman secara terstruktur, dan TAXII sebagai protokol pertukarannya, menjadi fondasi teknis yang memungkinkan interoperabilitas antar platform threat intelligence yang berbeda, seperti yang diadopsi dalam program Automated Indicator Sharing milik CISA.^[17]

Aspek Legal: Penanganan Data dalam Analisis Malware di Indonesia

Analisis malware sering melibatkan data yang berasal dari perangkat korban, termasuk kontak, lokasi, atau kredensial yang dicuri. Di Indonesia, penanganan data semacam ini tunduk pada Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, yang mengatur kewajiban pengendali dan pemroses data, termasuk ketika data tersebut diperoleh dalam konteks investigasi insiden keamanan.^[20] Tim analis perlu memastikan data sampel yang mengandung informasi pribadi korban ditangani dengan kontrol akses yang memadai dan tidak disimpan lebih lama dari yang diperlukan untuk keperluan investigasi dan pelaporan.

Fase 4: Dokumentasi dan Laporan Teknis

Temuan analisis malware harus didokumentasikan dengan standar yang memungkinkan tim lain mereproduksi hasil dan mengambil tindakan yang tepat.

Laporan analisis malware yang baik mencakup informasi dasar file (hash SHA-256, ukuran, nama package, version code), ringkasan temuan (jenis malware, kapabilitas utama, tingkat ancaman), analisis teknis detail (permission, komponen, temuan kode, perilaku runtime), IOC yang bisa digunakan untuk deteksi (IP, domain, hash, pola string), dan rekomendasi remediasi (langkah yang harus dilakukan jika perangkat terinfeksi, serta cara mencegah infeksi serupa).

IOC yang terdokumentasi dengan baik bisa langsung dimasukkan ke sistem deteksi seperti Wazuh atau SIEM untuk keperluan monitoring ke depannya.

Kesimpulan

Analisis malware Android bukan hal yang eksklusif untuk tim security besar dengan sumber daya tak terbatas. Dengan tools open-source yang tersedia dan metodologi yang sistematis, tim security internal bisa melakukan analisis yang cukup komprehensif untuk mengklasifikasikan ancaman dan mengambil tindakan yang tepat. Studi kasus seperti Gigabud menunjukkan bahwa ancaman ini nyata dan secara aktif menyasar pengguna Indonesia.

Yang paling penting adalah memiliki proses yang terdokumentasi dan lingkungan analisis yang aman, sehingga analisis bisa dilakukan dengan cepat saat ada APK mencurigakan yang perlu diperiksa.

Jika organisasi Anda membutuhkan analisis malware mendalam atau ingin membangun kapabilitas threat analysis internal, tim Security Squad LOGIQUE siap membantu.

Daftar Referensi

1. VirusTotal. “Files.” VirusTotal API Documentation. https://docs.virustotal.com/reference/files
2. MobSF. “Mobile-Security-Framework-MobSF.” GitHub repository. https://github.com/MobSF/Mobile-Security-Framework-MobSF
3. skylot. “jadx, Dex to Java decompiler.” GitHub repository. https://github.com/skylot/jadx
4. iBotPeaches. “Apktool.” GitHub repository. https://github.com/iBotPeaches/apktool
5. Android Developers. “Permissions on Android.” https://developer.android.com/guide/topics/permissions/overview
6. Android Developers. “android:exported.” https://developer.android.com/privacy-and-security/risks/android-exported
7. MITRE ATT&CK. “Event Triggered Execution: Broadcast Receivers.” T1624.001. https://attack.mitre.org/techniques/T1624/001/
8. Frida Project. Official website and documentation. https://frida.re/
9. SensePost. “objection.” GitHub repository. https://github.com/sensepost/objection
10. ESET WeLiveSecurity. “Beware of predatory fin(tech): Loan sharks use Android apps to reach new depths.” https://www.welivesecurity.com/en/eset-research/beware-predatory-fintech-loan-sharks-use-android-apps-reach-new-depths/
11. Android Developers. “Logcat command-line tool.” https://developer.android.com/tools/logcat
12. Kaspersky. “The Classification Tree.” Kaspersky Encyclopedia. https://encyclopedia.kaspersky.com/knowledge/the-classification-tree/
13. Android Developers. “Enable app optimization with R8.” https://developer.android.com/topic/performance/app-optimization/enable-app-optimization
14. Guardsquare. “DexGuard Android Application Security.” https://www.guardsquare.com/dexguard
15. YARA Project. Documentation. https://yara.readthedocs.io/
16. MISP Project. “Open Source Threat Intelligence Platform.” https://www.misp-project.org/
17. Cybersecurity and Infrastructure Security Agency (CISA). “How to share Cyber Threat Information through AIS.” https://www.cisa.gov/topics/cyber-threats-and-advisories/information-sharing/automated-indicator-sharing-ais/how-share-cyber-threat-information-through-ais
18. CAPE Sandbox Documentation. “What is CAPE?” https://capev2.readthedocs.io/en/latest/introduction/what.html
19. Group-IB. “Breaking down Gigabud banking malware with Fraud Matrix.” https://www.group-ib.com/blog/gigabud-banking-malware/
20. Peraturan.go.id. Undang-Undang Nomor 27 Tahun 2022 Tentang Pelindungan Data Pribadi. https://peraturan.go.id/id/uu-no-27-tahun-2022
21. MITRE ATT&CK. “Matrix, Mobile.” https://attack.mitre.org/matrices/mobile/