Bedah APK "Undangan Pernikahan": aplikasi pencuri SMS dan kode OTP yang dikirim ke bot Telegram penipu

Kronologi singkat

1. Setelah maraknya file APK "Lihat Paket" yang terbukti mencuri SMS, beredar varian baru berupa file APK berkedok "Undangan Pernikahan" yang dikirim lewat WhatsApp. 2. Saat file APK dibedah menggunakan JADX-GUI, terlihat aplikasi meminta izin (permission) Internet, membaca SMS, mengirim SMS, dan menerima SMS. Izin ini sama sekali tidak dibutuhkan oleh sebuah undangan. 3. Begitu dipasang dan dibuka, aplikasi langsung meminta izin untuk membaca dan mengirim SMS. 4. Apa pun pilihan korban (Izinkan atau Tolak), aplikasi tetap mengirim notifikasi ke bot Telegram milik penipu, berisi kabar bahwa aplikasi sudah terpasang beserta informasi perangkat korban. 5. Agar terlihat meyakinkan, aplikasi menampilkan formulir "Wedding Invitation" yang meminta nomor WhatsApp korban, seolah-olah benar undangan pernikahan. 6. Di balik tampilan itu, aplikasi diam-diam membaca SMS yang masuk dan meneruskannya ke bot Telegram penipu. 7. Tujuannya: penipu meminta kode OTP dari aplikasi m-banking atau dompet digital milik korban, lalu kode OTP yang masuk lewat SMS langsung terkirim ke penipu tanpa disadari korban. Dengan kode itu, penipu bisa mengambil alih akun dan menguras saldo. 8. Saat diunggah ke VirusTotal, file ini ditandai sebagai "trojan.smsspy/smsthief" oleh beberapa vendor keamanan.

Contoh pesan

Screenshot

Data pribadi pada gambar sudah disamarkan.

Pelajaran yang bisa diambil

- Undangan asli berupa gambar, PDF, atau link biasa, tidak pernah berupa file aplikasi berakhiran .apk. - Aplikasi yang meminta izin membaca dan mengirim SMS bisa mencuri kode OTP, padahal OTP adalah kunci akun m-banking dan dompet digital. - Menekan "Tolak" setelah aplikasi terpasang tidak menjamin aman, karena aplikasi sudah sempat melapor ke penipu. Yang paling aman adalah tidak memasang aplikasinya sama sekali. - Tampilan yang meyakinkan (formulir undangan, foto pengantin) adalah kedok untuk menyembunyikan fungsi jahat di belakangnya. - Kalau terlanjur memasang: matikan internet, segera hubungi call center bank untuk memblokir m-banking, hapus aplikasinya, dan ganti PIN serta password dari perangkat lain.

Sumber