Telset.id – Kampanye malware baru bernama WindRelay mengubah smartphone korban menjadi perangkat Point of Sale (POS) berbahaya yang digunakan untuk mencuri data kartu pembayaran secara real-time. Peneliti keamanan dari Group-IB menemukan serangan yang sangat ditargetkan ini di sejumlah negara Eropa Timur, dengan ponsel korban yang disalahgunakan untuk membaca data kartu contactless saat kartu ditempelkan ke perangkat tersebut.
Serangan ini menggabungkan teknik vishing (voice phishing) dengan malware khusus yang dirancang untuk meniru terminal pembayaran. Korban yang tidak menyadari sedang ditipu justru membantu pelaku mencuri uang mereka sendiri dengan menempelkan kartu bank ke ponsel yang telah terinfeksi. Metode ini menunjukkan evolusi signifikan dalam teknik serangan siber yang menargetkan pengguna perangkat Android.
Modus Serangan WindRelay yang Dipersonalisasi
Group-IB melaporkan bahwa kampanye WindRelay adalah serangan yang sangat canggih dan dirancang khusus untuk setiap korban. Tahap awal serangan dimulai dengan pengintaian, di mana pelaku mempelajari identitas korban, nomor telepon, dan kemungkinan detail pribadi lainnya. Peneliti menduga data tersebut mungkin diperoleh dari kebocoran data yang tidak terkait, meskipun hal ini tidak dibahas secara eksplisit dalam laporan.
Setelah mengumpulkan informasi, pelaku menyiapkan trojan akses jarak jauh (RAT) bernama SpyNote. Yang menarik, RAT ini dipersonalisasi dengan menambahkan nama korban pada label aplikasi, bukan menggunakan nama merek atau identitas generik. Taktik ini dirancang untuk membangun kepercayaan dan melemahkan pertahanan alami korban terhadap aplikasi yang tidak dikenal.
“Taktik semacam ini lebih efektif dalam melemahkan pertahanan alami dan kecurigaan korban,” tulis para peneliti dalam laporannya. “Ini menghilangkan satu petunjuk yang biasa diperiksa orang sebelum menginstal sesuatu yang tidak dikenal — nama aplikasi yang aneh atau generik — tepat pada saat mereka paling mungkin ragu.”
Pelaku kemudian menelepon korban dan memperkenalkan diri sebagai karyawan bank tempat korban menabung. Mereka mengklaim ada masalah dengan kartu bank korban dan menginstruksikan korban untuk menginstal SpyNote melalui package installer perangkat, yang merupakan cara standar untuk sideload aplikasi di luar toko aplikasi resmi.
Setelah SpyNote terpasang, pelaku menggunakan RAT tersebut untuk menginstal WindRelay sendiri — malware NFC khusus yang dirancang untuk menangkap data kartu pembayaran contactless secara real-time saat kartu ditempelkan ke ponsel. Dengan kata lain, malware ini mengubah smartphone menjadi POS, dan saat korban menempelkan kartu mereka, informasi tersebut diteruskan ke terminal milik pelaku.
Kombinasi vishing dan malware sebenarnya bukan hal baru dalam dunia keamanan siber. Kelompok ShinyHunters menjadi contoh paling menonjol dari praktik ini. Selama beberapa tahun terakhir, mereka menelepon korban dengan menyamar sebagai departemen IT dan meminta korban masuk melalui portal login palsu yang meneruskan kredensial ke pelaku.
Namun, kampanye WindRelay menunjukkan evolusi teknik ini. Jika operasi ShinyHunters hanya bertahan di telepon sampai korban masuk ke portal palsu, para pelaku WindRelay tetap berada di jalur telepon selama yang diperlukan. Group-IB menyebut rata-rata panggilan berlangsung sekitar 13 menit, dan pada saat itu korban telah menginstal SpyNote dan WindRelay, serta menempelkan kartu bank mereka ke ponsel, yang mengakibatkan pembayaran yang tidak diinginkan.
Dampak dan Target Serangan
Dalam setidaknya satu kasus, pelaku berhasil mengajukan pinjaman di bank korban, mencuri tidak hanya uang yang ada di rekening tetapi juga uang yang akan diperoleh korban di masa depan. Identitas pelaku masih belum diketahui hingga saat ini, dan jumlah pasti korban juga belum dipastikan, namun mengingat sifat serangan yang sangat personal, diperkirakan hanya ada segelintir korban.
Group-IB mengamati serangan di Ceko, Slovakia, dan Slovenia, yang menunjukkan pelaku fokus terutama pada korban di Eropa Timur. Para peneliti juga mengidentifikasi 23 sampel yang diunggah ke VirusTotal antara November 2025 dan Juli 2026, yang berarti kampanye ini aktif selama sekitar tujuh bulan dan menargetkan 23 individu.
“Sampel-sampel tersebut meniru berbagai institusi dari negara-negara yang ditargetkan dan berisi teks dalam bahasa masing-masing negara yang ditargetkan,” kata para peneliti. “Beberapa sampel mengandung elemen UI dan label yang dipersonalisasi, seperti nama korban, mirip dengan RAT yang dipersonalisasi. Ini menunjukkan pelaku di balik kampanye ini kemungkinan besar memiliki kemampuan untuk membangun aplikasi berbahaya yang disesuaikan dengan korban secara dinamis.”
Group-IB merekomendasikan pengguna untuk memperlakukan label aplikasi yang dipersonalisasi sebagai tanda bahaya dan menerapkan hambatan tambahan pada aplikasi pinjaman. Serangan ini juga menjadi pengingat penting tentang risiko keamanan pada perangkat Android, terutama bagi pengguna yang sering menerima panggilan dari nomor tidak dikenal yang mengaku dari bank.
Baca Juga:
Kampanye WindRelay menyoroti pentingnya kewaspadaan terhadap panggilan telepon yang mengaku dari institusi keuangan. Verifikasi identitas melalui saluran resmi sebelum menginstal aplikasi apa pun adalah langkah penting yang harus dilakukan semua pengguna. Teknik serangan yang semakin canggih seperti ini menunjukkan bahwa penjahat siber terus berinovasi dalam metode mereka.
Pengguna Android perlu memahami bahwa tidak ada bank yang akan meminta nasabahnya menginstal aplikasi melalui paket installer atau meminta mereka menempelkan kartu ke ponsel untuk verifikasi. Setiap permintaan semacam ini adalah indikasi kuat adanya upaya penipuan. Mengingat dampak finansial yang bisa sangat merugikan, kewaspadaan ekstra terhadap panggilan yang mencurigakan menjadi semakin penting.
Para ahli keamanan menekankan bahwa pengguna harus selalu berhati-hati dengan aplikasi yang diminta untuk diinstal di luar toko aplikasi resmi. Selain itu, menambahkan lapisan verifikasi tambahan untuk aplikasi pinjaman dan transaksi keuangan dapat membantu mencegah kerugian yang lebih besar. Dengan memahami taktik yang digunakan dalam kampanye seperti WindRelay, pengguna dapat lebih siap menghadapi ancaman serupa di masa depan.
Komentar
Belum ada komentar.