Campanya d'atac de programari maliciós per a mòbils d'Anasa

Investigadors de ciberseguretat han descobert una nova onada d'atacs de programari maliciós per a la banca Android orquestrats a través del troià Anatsa. Aquesta sofisticada amenaça, també coneguda com a TeaBot o Toddler, ha ressorgit amb una campanya dirigida a usuaris dels Estats Units i el Canadà, que utilitza tàctiques enganyoses a través d'aplicacions aparentment legítimes publicades a la Google Play Store.

Programari maliciós que es disfressa d’eines de documents

Al centre de la campanya hi ha una aplicació de descàrrega disfressada d'una utilitat anomenada "Document Viewer - File Reader" (paquet APK: "com.stellarastra.maintainer.astracontrol_managerreadercleaner"). Fent-se passar per una eina PDF inofensiva, l'aplicació va ser publicada per un desenvolupador anomenat "Hybrid Cars Simulator, Drift & Racing", un nom que desperta sospites en si mateix. Un cop va acumular un nombre substancial de descàrregues, una actualització va incrustar codi maliciós que va descarregar i instal·lar Anatsa als dispositius de les víctimes.

Aquesta aplicació en particular es va publicar el 7 de maig de 2025 i va assolir la quarta posició a la categoria Top Free - Tools el 29 de juny de 2025. En aquell moment, havia acumulat aproximadament 90.000 descàrregues abans de ser retirada. Google ha confirmat des de llavors l'eliminació d'aquesta aplicació i del seu compte de desenvolupador associat de la Play Store.

Estratègies furtives i manual familiar

La campanya Anatsa segueix un cicle provat i comprovat:

Implementació d'aplicacions legítima : penja una aplicació neta i totalment funcional a la Play Store.

Infecció retardada : després de crear una base d'usuaris considerable, publiqueu una actualització que contingui codi maliciós.

Instal·lació silenciosa : el programari maliciós s'instal·la com una aplicació independent, fora de la vista del paquet original.

Assignació d'objectius : Rep una llista d'institucions financeres a atacar, obtinguda dinàmicament d'un servidor extern.

Aquest atac multietapa forma part de l'estratègia d'èxit durador d'Anatsa. En romandre inactiu en les primeres etapes i activar-se només després de guanyar confiança i tracció, la campanya evita la detecció precoç i maximitza el seu impacte durant una finestra de distribució curta però efectiva, en aquest cas, del 24 al 30 de juny de 2025.

Capacitats avançades per al frau financer

Un cop instal·lat, Anatsa permet una sèrie d'activitats malicioses destinades a l'explotació financera:

• Robatori de credencials mitjançant atacs superposats i keylogging.
• Frau de presa de control de dispositius (DTO) per iniciar transaccions directament des del dispositiu de l'usuari.

• Obstrucció de les accions dels usuaris mitjançant avisos de manteniment falsos que impedeixen l'accés a aplicacions bancàries legítimes i retarden la detecció.

Aquestes superposicions enganyen els usuaris fent-los creure que l'aplicació del seu banc està temporalment inactiva per manteniment, quan en realitat, les credencials s'estan robant i potencialment utilitzant per a transaccions no autoritzades.

Evolució global de l’amenaça Anatsa

Anatsa, detectat per primera vegada el 2020, ha evolucionat considerablement. A principis del 2024, es va dirigir a usuaris d'Eslovàquia, Eslovènia i la República Txeca utilitzant tàctiques similars: aplicacions benignes es van convertir en malicioses setmanes després del seu llançament inicial. La capacitat del programari maliciós per adaptar-se i ampliar el seu enfocament geogràfic subratlla la seva amenaça persistent per als clients de banca mòbil a tot el món.

La darrera campanya nord-americana reflecteix l'interès creixent d'Anatsa per les institucions financeres dels EUA i el Canadà, així com la seva capacitat per adaptar-se ràpidament i reutilitzar mètodes d'atac reeixits amb petits ajustos.

Mesures de protecció i resposta de la indústria

S'insta a les organitzacions del sector dels serveis financers a:

• Monitoritzar activitats sospitoses provinents de dispositius mòbils.
• Educa els clients sobre els perills de les superposicions d'aplicacions falses i les actualitzacions no autoritzades.
• Enfortir els mecanismes d'autenticació per detectar fraus fins i tot quan les credencials estiguin compromeses.

Senyals d'alerta clau per als usuaris:

• Aplicacions que sol·liciten permisos inusuals després d'actualitzacions.
• Aparició sobtada de superposicions de "manteniment" a les aplicacions bancàries.
• Inconsistències en el nom o la categoria de l'aplicació del desenvolupador de l'aplicació.

Google ha declarat que les aplicacions malicioses implicades en aquesta campanya han estat eliminades de la Google Play Store.

Reflexions finals

La campanya Anatsa és un clar recordatori de la rapidesa amb què es pot explotar la confiança en els ecosistemes digitals. En integrar-se en l'entorn de confiança de Google Play Store, el programari maliciós es va infiltrar amb èxit en milers de dispositius. L'educació contínua, la supervisió proactiva de la seguretat i una bona dosi d'escepticisme continuen sent la millor defensa contra aquestes amenaces en evolució.