Anatsa kampanja napada mobilnog zlonamjernog softvera

Istraživači kibernetičke sigurnosti otkrili su novi val napada zlonamjernog softvera za Android bankarstvo orkestriranih putem trojanca Anatsa. Ova sofisticirana prijetnja, poznata i kao TeaBot ili Toddler, ponovno se pojavila s kampanjom usmjerenom na korisnike u Sjedinjenim Državama i Kanadi, koristeći obmanjujuće taktike putem naizgled legitimnih aplikacija objavljenih na Google Play Storeu.

Zlonamjerni softver maskiran kao alati za dokumente

U središtu kampanje je aplikacija za skidanje dokumenata prerušena u uslužni program pod nazivom 'Document Viewer - File Reader' (APK paket: 'com.stellarastra.maintainer.astracontrol_managerreadercleaner'). Aplikaciju, koja se predstavlja kao bezopasan PDF alat, objavio je programer pod nazivom 'Hybrid Cars Simulator, Drift & Racing', ime koje samo po sebi izaziva sumnju. Nakon što je prikupila znatan broj preuzimanja, ažuriranje je ugradilo zlonamjerni kod koji je preuzeo i instalirao Anatsu na uređaje žrtava.

Ova konkretna aplikacija objavljena je 7. svibnja 2025. i do 29. lipnja 2025. dosegla je četvrto mjesto u kategoriji Najbolji besplatni alati. Do tada je prikupila otprilike 90 000 preuzimanja prije nego što je uklonjena. Google je od tada potvrdio uklanjanje ove aplikacije i povezanog računa razvojnog programera iz Trgovine Play.

Prikrivene strategije i poznati priručnik

Kampanja Anatsa slijedi provjereni ciklus:

Legitimno postavljanje aplikacije : Prenesite čistu, potpuno funkcionalnu aplikaciju u Trgovinu Play.

Odgođena infekcija : Nakon izgradnje značajne korisničke baze, objavite ažuriranje koje sadrži zlonamjerni kod.

Tiha instalacija : Zlonamjerni softver se instalira kao zasebna aplikacija, izvan vidokruga izvornog paketa.

Dodjeljivanje cilja : Prima popis financijskih institucija za napad, dinamički dohvaćen s vanjskog poslužitelja.

Ovaj višefazni napad dio je Anatsine strategije trajnog uspjeha. Time što je u ranim fazama neaktivna i aktivira se tek nakon stjecanja povjerenja i podrške, kampanja izbjegava rano otkrivanje i maksimizira svoj utjecaj tijekom kratkog, ali učinkovitog razdoblja distribucije, u ovom slučaju od 24. do 30. lipnja 2025.

Napredne mogućnosti za financijske prijevare

Nakon instalacije, Anatsa omogućuje niz zlonamjernih aktivnosti usmjerenih na financijsku eksploataciju:

• Krađa vjerodajnica putem napada preklapanjem i keylogginga.
• Prijevara s preuzimanjem uređaja (DTO) za pokretanje transakcija izravno s korisničkog uređaja.

• Ometanje korisničkih radnji putem lažnih obavijesti o održavanju koje sprječavaju pristup legitimnim bankarskim aplikacijama i odgađaju otkrivanje.

Ovi slojevi zavaravaju korisnike da pomisle da je aplikacija njihove banke privremeno nedostupna zbog održavanja, dok se u stvarnosti vjerodajnice kradu i potencijalno koriste za neovlaštene transakcije.

Globalna evolucija prijetnje Anatsa

Prvi put uočena 2020. godine, Anatsa se znatno razvila. Ranije 2024. godine, ciljala je korisnike u Slovačkoj, Sloveniji i Češkoj koristeći slične taktike, a benigne aplikacije postale su zlonamjerne tjednima nakon početnog objavljivanja. Sposobnost zlonamjernog softvera da se prilagodi i proširi svoj geografski fokus naglašava njegovu stalnu prijetnju korisnicima mobilnog bankarstva diljem svijeta.

Najnovija sjevernoamerička kampanja odražava Anatsin sve veći interes za američke i kanadske financijske institucije, kao i njezinu sposobnost brzog prilagođavanja i ponovne upotrebe uspješnih metoda napada uz manje izmjene.

Zaštitne mjere i odgovor industrije

Organizacije u sektoru financijskih usluga potiču se da:

• Pratite sumnjive aktivnosti koje potječu s mobilnih uređaja.
• Educirajte korisnike o opasnostima lažnih slojeva aplikacija i neovlaštenih ažuriranja.
• Ojačajte mehanizme autentifikacije kako biste otkrili prijevaru čak i kada su vjerodajnice kompromitirane.

Ključne crvene zastavice za korisnike:

• Aplikacije koje zahtijevaju neobična dopuštenja nakon ažuriranja.
• Iznenadna pojava slojeva "održavanja" na bankarskim aplikacijama.
• Nedosljednosti u imenu razvojnog programera aplikacije ili kategoriji aplikacije.

Google je izjavio da su zlonamjerne aplikacije uključene u ovu kampanju uklonjene iz Trgovine Google Play.

Završne misli

Kampanja Anatsa oštar je podsjetnik na to koliko se brzo povjerenje može iskoristiti u digitalnim ekosustavima. Uklapajući se u pouzdano okruženje Trgovine Google Play, zlonamjerni softver uspješno se infiltrirao u tisuće uređaja. Kontinuirana edukacija, proaktivno praćenje sigurnosti i zdrava doza skepticizma ostaju najbolja obrana od takvih prijetnji koje se stalno razvijaju.