Bukitmakmur.id – Peneliti keamanan Siber McAfee mendeteksi keberadaan malware Android baru bernama NoVoice yang menyusup ke lebih dari 50 aplikasi resmi di Google Play Store per April 2026. Aplikasi berbahaya ini mencuri data serta menginfeksi sekitar 2,3 juta pengguna aktif di seluruh dunia dengan memanfaatkan celah sistem melalui teknik root.
Malware Android berbahaya ini menyamar melalui berbagai jenis aplikasi populer, mulai dari aplikasi pembersih perangkat, galeri foto, hingga beragam kategori game mobile. Fakta menariknya, pelaku kejahatan siber mendesain aplikasi ini agar tampak normal dan tidak memicu kecurigaan pengguna dengan tidak meminta izin akses secara berlebihan di awal pemasangan.
Mengenal Cara Kerja Malware Android NoVoice
Pelaku ancaman menyembunyikan komponen berbahaya malware Android NoVoice dalam folder com.facebook.utils, tepat di antara kelas-kelas SDK milik Facebook yang sah. Strategi penyamaran ini berhasil mengecoh banyak pengguna dan sistem pemindaian standar, sehingga aplikasi tetap berjalan meskipun mengandung ancaman keamanan serius.
Selanjutnya, malware ini melakukan teknik steganografi untuk menyimpan muatan terenkripsi bernama (enc.apk) di dalam berkas gambar PNG. Setelah sistem mengekstraksi berkas tersebut menjadi (h.apk), malware secara otomatis memuatnya ke memori sistem. Alhasil, pelaku kejahatan siber mampu menghapus semua jejak berkas perantara guna meminimalisir deteksi oleh perangkat lunak keamanan lainnya.
Strategi infiltrasi ini sangat licin karena metode tersebut memanfaatkan kerentanan Android lama yang mencakup rentang waktu 2016 hingga 2021. Meskipun Google sudah menutup celah keamanan tersebut, banyak perangkat yang belum menerima pembaruan sistem tetap rentan terhadap eksploitasi NoVoice.
Strategi Eksploitasi dan Akses Root Perangkat
NoVoice menerapkan mekanisme ketat untuk memastikan infeksi berjalan lancar. Malware ini menjalankan setidaknya 15 pemeriksaan rutin terhadap lingkungan sistem, termasuk mendeteksi penggunaan emulator, alat debugger, maupun koneksi VPN. Menariknya, operasi ini sengaja menghindari target pengguna di wilayah tertentu, yaitu Beijing dan Shenzhen di China.
Setelah perangkat berhasil terinfeksi, aplikasi segera menghubungi server command-and-control (C2) milik peretas secara berkala. Setiap 60 detik, sistem malware mengumpulkan data krusial seperti:
- Detail detail perangkat keras secara mendalam
- Versi kernel serta versi sistem operasi Android
- Daftar aplikasi terinstal dalam perangkat
- Status root sistem untuk menentukan strategi eksploitasi
Kemudian, server C2 mengirimkan berbagai komponen spesifik yang sesuai dengan target perangkat korban. Berdasarkan temuan McAfee, terdapat setidaknya 22 jenis eksploitasi termasuk celah kernel use-after-free dan kelemahan pada driver GPU Mali. Dengan cara ini, peretas mendapatkan kontrol penuh (root access) dan mampu menonaktifkan protokol keamanan SELinux secara permanen.
Dampak Serangan terhadap Keamanan Sistem
| Tahapan Infeksi | Aksi Malware |
|---|---|
| Infiltrasi | Menyamar melalui aplikasi pembersih dan game |
| Eksekusi | Memanfaatkan celah kernel dan driver Mali |
| Persistensi | Mengganti pustaka sistem dengan versi malicious |
Setelah penguasaan penuh, malware Android berbahaya tersebut mengganti pustaka sistem utama seperti libandroid_runtime.so dan libmedia_jni.so dengan versi modifikasi (hooked wrappers). Tindakan ini menyadap segala aktivitas panggilan sistem dan mengalihkan eksekusi ke kode serangan milik peretas.
Peretas bahkan membangun sistem pertahanan berlapis agar infeksi tetap bertahan (persistence). Mereka menginstal skrip pemulihan khusus serta menyimpan muatan cadangan di dalam partisi sistem. Karena partisi tersebut tidak ikut terhapus saat pengguna memilih opsi reset pabrik, maka malware dipastikan tetap menghuni perangkat meskipun telah diformat ulang.
Pertahanan dan Perlindungan bagi Pengguna
Google segera menghapus semua aplikasi berbahaya tersebut dari Google Play setelah McAfee, sebagai anggota App Defense Alliance, mengirimkan laporan resmi. Seorang juru bicara Google menyatakan bahwa perangkat yang telah menerima pembaruan sistem sejak Mei 2021 sudah memiliki perlindungan dasar terhadap eksploitasi jenis ini.
Namun, pengguna yang telanjur menginstal aplikasi tersebut sebelum penghapusan harus sangat waspada. Para ahli keamanan menyarankan agar pengguna segera menganggap perangkat beserta data di dalamnya telah terkompromi. Meskipun Google Play Protect secara otomatis memblokir pemasangan baru, pembersihan total perangkat seringkali memerlukan langkah teknis lebih lanjut.
Selain melakukan update sistem, pengguna harus selalu menerapkan praktik keamanan dasar dalam menggunakan smartphone. Pertama, hindari menginstal aplikasi dari penerbit yang tidak dikenal atau mencurigakan. Kedua, pastikan perangkat selalu mendapatkan patch keamanan terbaru setiap bulannya agar sistem mampu menutup celah eksploitasi yang mungkin muncul di kemudian hari.
Pada akhirnya, kesadaran pengguna terhadap keamanan siber menjadi kunci utama dalam melindungi perangkat dari serangan malware Android berbahaya di masa depan. Selalu gunakan aplikasi resmi dan perbarui perangkat sistem Android secara rutin guna menjaga integritas data pribadi.