Anatsa Mobile Malware-angrepskampanje

Forskere på nettsikkerhet har avdekket en ny bølge av skadevareangrep mot Android-banktjenester orkestrert gjennom Anatsa-trojaneren. Denne sofistikerte trusselen, også kjent som TeaBot eller Toddler, har dukket opp igjen med en kampanje rettet mot brukere i USA og Canada, der den bruker villedende taktikker gjennom tilsynelatende legitime apper publisert i Google Play Store.

Skadevare som utgir seg for å være dokumentverktøy

I sentrum av kampanjen står en dropper-app forkledd som et verktøy med tittelen «Document Viewer - File Reader» (APK-pakke: «com.stellarastra.maintainer.astracontrol_managerreadercleaner»). Appen utga seg for å være et harmløst PDF-verktøy, og ble publisert av en utvikler ved navn «Hybrid Cars Simulator, Drift & Racing», et navn som vekker mistanke i seg selv. Etter at den hadde samlet et betydelig antall nedlastinger, innebygde en oppdatering skadelig kode som lastet ned og installerte Anatsa på ofrenes enheter.

Denne spesifikke appen ble lansert 7. mai 2025 og nådde fjerdeplassen i kategorien Topp gratisverktøy innen 29. juni 2025. Da hadde den samlet omtrent 90 000 nedlastinger før den ble fjernet. Google har siden bekreftet fjerningen av denne appen og den tilhørende utviklerkontoen fra Play Store.

Snikende strategier og kjent strategibok

Anatsa-kampanjen følger en velprøvd syklus:

Legitimasjon av apper : Last opp en ren og fullt funksjonell app til Play-butikken.

Forsinket infeksjon : Etter å ha bygget en betydelig brukerbase, send en oppdatering som inneholder skadelig kode.

Stille installasjon : Skadevaren installeres som en separat app, ute av syne fra den originale pakken.

Måltildeling : Den mottar en liste over finansinstitusjoner som skal angripes, hentet dynamisk fra en ekstern server.

Dette flertrinnsangrepet er en del av Anatsas vedvarende suksessstrategi. Ved å ligge i dvale i tidlige stadier og bare aktiveres etter at man har oppnådd tillit og fotfeste, unngår kampanjen tidlig oppdagelse og maksimerer effekten i løpet av et kort, men effektivt distribusjonsvindu, i dette tilfellet fra 24. juni til 30. juni 2025.

Avanserte muligheter for økonomisk svindel

Når Anatsa er installert, muliggjør den en rekke ondsinnede aktiviteter rettet mot økonomisk utnyttelse:

• Legitimasjonstyveri gjennom overlay-angrep og tastelogging.
• Enhetsovertakelsessvindel (DTO) for å starte transaksjoner direkte fra brukerens enhet.

• Hindring av brukerhandlinger via falske vedlikeholdsvarsler som hindrer tilgang til legitime bankapper og forsinker deteksjon.

Disse overleggene lurer brukerne til å tro at bankens app midlertidig er nede for vedlikehold, når det i virkeligheten er påloggingsinformasjon som blir tappet og potensielt brukt til uautoriserte transaksjoner.

Global utvikling av Anatsa-trusselen

Anatsa, som først ble oppdaget i 2020, har utviklet seg betraktelig. Tidligere i 2024 målrettet den brukere i Slovakia, Slovenia og Tsjekkia ved å bruke lignende taktikker, og godartede apper ble skadelige uker etter den første utgivelsen. Skadevarens evne til å tilpasse seg og utvide sitt geografiske fokus understreker den vedvarende trusselen mot mobilbankkunder over hele verden.

Den siste nordamerikanske kampanjen gjenspeiler Anatsas økende interesse for amerikanske og kanadiske finansinstitusjoner, samt deres evne til å omstille seg raskt og gjenbruke vellykkede angrepsmetoder med mindre justeringer.

Beskyttelsestiltak og bransjens respons

Organisasjoner i finanssektoren oppfordres til å:

• Overvåk mistenkelig aktivitet som stammer fra mobile enheter.
• Lær kundene om farene ved falske appoverlegg og uautoriserte oppdateringer.
• Styrk autentiseringsmekanismer for å oppdage svindel selv når legitimasjon er kompromittert.

Viktige røde flagg for brukere:

• Apper som ber om uvanlige tillatelser etter oppdateringer.
• Plutselig opptreden av «vedlikeholds»-overlegg på bankapper.
• Uoverensstemmelser i apputviklerens navn eller appkategori.

Google har uttalt at de skadelige appene som er involvert i denne kampanjen er fjernet fra Google Play Store.

Avsluttende tanker

Anatsa-kampanjen er en sterk påminnelse om hvor raskt tillit kan utnyttes i digitale økosystemer. Ved å integreres i det pålitelige miljøet i Google Play Store, har skadevaren infiltrert tusenvis av enheter. Kontinuerlig opplæring, proaktiv sikkerhetsovervåking og en sunn dose skepsis er fortsatt det beste forsvaret mot slike utviklende trusler.