Kampaň útoku malwaru pro mobilní zařízení Anatsa

Výzkumníci v oblasti kybernetické bezpečnosti odhalili novou vlnu útoků malwaru na bankovní systémy Android, které byly zorganizovány trojským koněm Anatsa. Tato sofistikovaná hrozba, známá také jako TeaBot nebo Toddler, se znovu objevila v kampani zaměřené na uživatele ve Spojených státech a Kanadě, která využívá klamavé taktiky prostřednictvím zdánlivě legitimních aplikací zveřejněných v Obchodě Google Play.

Malware maskovaný jako nástroje pro tvorbu dokumentů

Ústředním bodem kampaně je aplikace maskovaná jako utilita s názvem „Prohlížeč dokumentů - čtečka souborů“ (balíček APK: „com.stellarastra.maintainer.astracontrol_managerreadercleaner“). Aplikace, která se vydává za neškodný nástroj pro práci s PDF, byla publikována vývojářem s názvem „Hybrid Cars Simulator, Drift & Racing“, což je název, který sám o sobě vzbuzuje podezření. Jakmile nashromáždila značný počet stažení, aktualizace do ní vložila škodlivý kód, který stáhl a nainstaloval Anatsu na zařízení obětí.

Tato konkrétní aplikace byla spuštěna 7. května 2025 a do 29. června 2025 dosáhla čtvrtého místa v kategorii Nejlepší bezplatné nástroje. Do té doby nashromáždila přibližně 90 000 stažení, než byla odstraněna. Google od té doby potvrdil odstranění této aplikace a s ní spojeného vývojářského účtu z Obchodu Play.

Nenápadné strategie a známý postup

Kampaň Anatsa se řídí osvědčeným cyklem:

Nasazení legitimní aplikace : Nahrajte čistou a plně funkční aplikaci do Obchodu Play.

Zpožděná infekce : Po vybudování značné uživatelské základny spustí aktualizaci obsahující škodlivý kód.

Tichá instalace : Malware se instaluje jako samostatná aplikace, mimo dohled původního balíčku.

Přiřazení cíle : Obdrží seznam finančních institucí k útoku, dynamicky načítaný z externího serveru.

Tento vícestupňový útok je součástí strategie trvalého úspěchu společnosti Anatsa. Tím, že kampaň v raných fázích latentně působí a aktivuje se až po získání důvěry a podpory, se vyhýbá včasnému odhalení a maximalizuje svůj dopad během krátkého, ale efektivního distribučního okna, v tomto případě od 24. do 30. června 2025.

Pokročilé možnosti pro finanční podvody

Po instalaci umožňuje Anatsa řadu škodlivých aktivit zaměřených na finanční zneužití:

• Krádež přihlašovacích údajů prostřednictvím útoků typu overlay a keyloggingu.
• Podvod s převzetím zařízení (DTO) za účelem zahájení transakcí přímo ze zařízení uživatele.

• Maření uživatelských akcí prostřednictvím falešných oznámení o údržbě, která brání v přístupu k legitimním bankovním aplikacím a zpožďují detekci.

Tyto překryvy klamou uživatele, aby si mysleli, že aplikace jejich banky je dočasně nedostupná z důvodu údržby, zatímco ve skutečnosti dochází k odcizení přihlašovacích údajů, které jsou potenciálně použity k neoprávněným transakcím.

Globální vývoj hrozby Anatsa

Malware Anatsa, poprvé spatřený v roce 2020, se značně vyvinul. Začátkem roku 2024 cílil na uživatele na Slovensku, ve Slovinsku a v České republice pomocí podobných taktik, přičemž neškodné aplikace se týdny po prvním vydání staly škodlivými. Schopnost malwaru přizpůsobit se a rozšířit své geografické zaměření podtrhuje jeho přetrvávající hrozbu pro zákazníky mobilního bankovnictví po celém světě.

Nejnovější severoamerická kampaň odráží rostoucí zájem společnosti Anatsa o americké a kanadské finanční instituce a také její schopnost rychle se přizpůsobit a s drobnými úpravami znovu použít úspěšné metody útoku.

Ochranná opatření a reakce odvětví

Organizace ve finančním sektoru se vyzývají, aby:

• Sledujte podezřelou aktivitu pocházející z mobilních zařízení.
• Vzdělávejte zákazníky o nebezpečích falešných překryvů aplikací a neoprávněných aktualizací.
• Posílení ověřovacích mechanismů pro odhalování podvodů i v případě ohrožení přihlašovacích údajů.

Klíčové varovné signály pro uživatele:

• Aplikace, které po aktualizacích vyžadují neobvyklá oprávnění.
• Náhlé zobrazení překryvných vrstev „údržba“ v bankovních aplikacích.
• Nesrovnalosti ve jménu vývojáře aplikace nebo kategorii aplikace.

Společnost Google uvedla, že škodlivé aplikace zapojené do této kampaně byly z Obchodu Google Play odstraněny.

Závěrečné myšlenky

Kampaň Anatsa je drsnou připomínkou toho, jak rychle lze zneužít důvěru v digitálních ekosystémech. Propojením s důvěryhodným prostředím Obchodu Google Play se malwaru podařilo infiltrovat tisíce zařízení. Nejlepší obranou proti takovýmto vyvíjejícím se hrozbám zůstává průběžné vzdělávání, proaktivní monitorování bezpečnosti a zdravá dávka skepticismu.