Anatsa Mobile Malware-aanvalscampagne

Cybersecurityonderzoekers hebben een nieuwe golf aan malware-aanvallen op Android-bankieren ontdekt, georkestreerd via de Anatsa-trojan. Deze geavanceerde dreiging, ook bekend als TeaBot of Toddler, is weer opgedoken met een campagne die zich richt op gebruikers in de Verenigde Staten en Canada. De campagne maakt gebruik van misleidende tactieken via schijnbaar legitieme apps die in de Google Play Store worden gepubliceerd.

Malware vermomd als documenthulpmiddelen

Centraal in de campagne staat een dropper-app, vermomd als hulpprogramma, met de naam 'Document Viewer - File Reader' (APK-pakket: 'com.stellarastra.maintainer.astracontrol_managerreadercleaner'). De app, die zich voordeed als een onschuldige pdf-tool, werd gepubliceerd door een ontwikkelaar met de naam 'Hybrid Cars Simulator, Drift & Racing', een naam die op zichzelf al verdacht is. Nadat de app een aanzienlijk aantal downloads had verzameld, bevatte een update schadelijke code die Anatsa downloadde en installeerde op de apparaten van de slachtoffers.

Deze specifieke app ging live op 7 mei 2025 en bereikte op 29 juni 2025 de vierde positie in de categorie Top Gratis Tools. Tegen die tijd was de app al ongeveer 90.000 keer gedownload voordat hij werd verwijderd. Google heeft inmiddels bevestigd dat deze app en het bijbehorende ontwikkelaarsaccount uit de Play Store zijn verwijderd.

Sluipstrategieën en bekend handboek

De Anatsa-campagne volgt een beproefde cyclus:

Implementatie van legitieme apps : upload een schone, volledig functionele app naar de Play Store.

Vertraagde infectie : Nadat u een aanzienlijke gebruikersbasis hebt opgebouwd, pusht u een update met schadelijke code.

Stille installatie : de malware wordt geïnstalleerd als een aparte app, buiten het zicht van het oorspronkelijke pakket.

Doeltoewijzing : ontvangt een lijst met financiële instellingen die aangevallen moeten worden. Deze lijst wordt dynamisch opgehaald van een externe server.

Deze meerfasenaanval maakt deel uit van Anatsa's duurzame successtrategie. Door in de beginfase sluimerend te blijven en pas te activeren nadat vertrouwen en grip op de zaak is verkregen, vermijdt de campagne vroegtijdige detectie en maximaliseert ze haar impact tijdens een korte maar effectieve distributieperiode, in dit geval van 24 tot en met 30 juni 2025.

Geavanceerde mogelijkheden voor financiële fraude

Na de installatie maakt Anatsa een scala aan kwaadaardige activiteiten mogelijk die gericht zijn op financiële uitbuiting:

• Diefstal van inloggegevens via overlay-aanvallen en keylogging.
• Device-Takeover Fraud (DTO) is het rechtstreeks initiëren van transacties vanaf het apparaat van de gebruiker.

• Het belemmeren van gebruikersacties via valse onderhoudsmeldingen die de toegang tot legitieme bankier-apps blokkeren en detectie vertragen.

Deze overlays misleiden gebruikers en doen hen denken dat de app van hun bank tijdelijk niet beschikbaar is vanwege onderhoud. In werkelijkheid worden de inloggegevens echter overgenomen en mogelijk gebruikt voor ongeautoriseerde transacties.

Wereldwijde evolutie van de Anatsa-dreiging

Anatsa, voor het eerst opgemerkt in 2020, heeft zich aanzienlijk ontwikkeld. Eerder in 2024 richtte het zich met vergelijkbare tactieken op gebruikers in Slowakije, Slovenië en Tsjechië, waarbij goedaardige apps weken na de eerste release kwaadaardig werden. Het vermogen van de malware om zich aan te passen en zijn geografische focus uit te breiden, onderstreept de aanhoudende dreiging voor mobiel bankieren wereldwijd.

De laatste Noord-Amerikaanse campagne weerspiegelt Anatsa's groeiende interesse in Amerikaanse en Canadese financiële instellingen, maar ook het vermogen van het bedrijf om snel te schakelen en succesvolle aanvalsmethoden te hergebruiken met kleine aanpassingen.

Beschermende maatregelen en reactie van de industrie

Organisaties in de financiële dienstverlening worden dringend verzocht om:

• Controleer op verdachte activiteiten vanaf mobiele apparaten.
• Informeer klanten over de gevaren van neppe app-overlays en ongeautoriseerde updates.
• Versterk authenticatiemechanismen om fraude te detecteren, zelfs wanneer de inloggegevens zijn gecompromitteerd.

Belangrijkste rode vlaggen voor gebruikers:

• Apps die na updates ongebruikelijke toestemmingen vragen.
• Plotseling verschijnen er 'onderhouds'-overlays op bankier-apps.
• Inconsistenties in de naam van de app-ontwikkelaar of app-categorie.

Google heeft verklaard dat de schadelijke apps die bij deze campagne betrokken zijn, uit de Google Play Store zijn verwijderd.

Laatste gedachten

De Anatsa-campagne is een harde herinnering aan hoe snel vertrouwen kan worden uitgebuit in digitale ecosystemen. Door zich te integreren in de vertrouwde omgeving van de Google Play Store, infiltreerde de malware met succes duizenden apparaten. Continue educatie, proactieve beveiligingsmonitoring en een gezonde dosis scepsis blijven de beste verdediging tegen dergelijke evoluerende bedreigingen.