کمپین حمله بدافزار موبایلی آناتسا
محققان امنیت سایبری موج جدیدی از حملات بدافزار بانکی اندروید را که از طریق تروجان Anatsa سازماندهی شده است، کشف کردهاند. این تهدید پیچیده که با نامهای TeaBot یا Toddler نیز شناخته میشود، با کمپینی که کاربران را در ایالات متحده و کانادا هدف قرار میدهد، دوباره ظاهر شده است و از طریق برنامههای به ظاهر قانونی منتشر شده در فروشگاه Google Play، تاکتیکهای فریبندهای را به کار میگیرد.
فهرست مطالب
بدافزارهایی که خود را به عنوان ابزار سند جا میزنند
در مرکز این کمپین، یک برنامهی دراپر وجود دارد که خود را به شکل یک ابزار با عنوان «نمایشگر اسناد - خوانندهی فایل» (بستهی APK: 'com.stellarastra.maintainer.astracontrol_managerreadercleaner') جا زده است. این برنامه که خود را به عنوان یک ابزار بیضرر PDF جا زده بود، توسط توسعهدهندهای به نام «شبیهساز، دریفت و مسابقهی خودروهای هیبریدی» منتشر شد، نامی که خود به تنهایی سوءظنها را برمیانگیزد. پس از اینکه تعداد قابل توجهی از دانلودها را جمعآوری کرد، یک بهروزرسانی کد مخرب را در آن جاسازی کرد که آناتسا را روی دستگاههای قربانیان دانلود و نصب میکرد.
این برنامه خاص در ۷ می ۲۰۲۵ منتشر شد و تا ۲۹ ژوئن ۲۰۲۵ به رتبه چهارم در دسته ابزارهای برتر رایگان رسید. تا آن زمان، تقریباً ۹۰،۰۰۰ دانلود داشت و سپس حذف شد. گوگل از آن زمان حذف این برنامه و حساب توسعهدهنده مرتبط با آن را از فروشگاه پلی استور تأیید کرده است.
استراتژیهای مخفیانه و دفترچه راهنمای آشنا
کمپین آناتسا از یک چرخهی امتحانشده و آزمایششده پیروی میکند:
استقرار قانونی اپلیکیشن : یک اپلیکیشن تمیز و کاملاً کاربردی را در پلی استور آپلود کنید.
آلودگی با تأخیر : پس از ایجاد پایگاه کاربری قابل توجه، بهروزرسانی حاوی کد مخرب را منتشر کنید.
نصب بیصدا : بدافزار به عنوان یک برنامه جداگانه و دور از دید بسته اصلی نصب میشود.
تخصیص هدف : فهرستی از مؤسسات مالی برای حمله را دریافت میکند که به صورت پویا از یک سرور خارجی دریافت میشود.
این حمله چند مرحلهای بخشی از استراتژی موفقیت پایدار آناتسا است. این کمپین با غیرفعال ماندن در مراحل اولیه و فعال شدن تنها پس از جلب اعتماد و جذب مخاطب، از شناسایی زودهنگام جلوگیری کرده و تأثیر خود را در یک بازه توزیع کوتاه اما مؤثر، در این مورد، از ۲۴ ژوئن تا ۳۰ ژوئن ۲۰۲۵، به حداکثر میرساند.
قابلیتهای پیشرفته برای کلاهبرداری مالی
پس از نصب، آناتسا طیف وسیعی از فعالیتهای مخرب با هدف سوءاستفاده مالی را فعال میکند:
- سرقت اعتبارنامه از طریق حملات همپوشانی و کیلاگرینگ.
این پوششها کاربران را فریب میدهند تا فکر کنند برنامه بانکشان موقتاً برای تعمیر و نگهداری از کار افتاده است، در حالی که در واقعیت، اطلاعات کاربری در حال سرقت و استفاده بالقوه برای تراکنشهای غیرمجاز است.
تکامل جهانی تهدید آناتسا
آناتسا که اولین بار در سال ۲۰۲۰ مشاهده شد، به طور قابل توجهی تکامل یافته است. پیش از این در سال ۲۰۲۴، کاربران اسلواکی، اسلوونی و جمهوری چک را با استفاده از تاکتیکهای مشابه هدف قرار داده بود، برنامههای بیخطر چند هفته پس از انتشار اولیه به برنامههای مخرب تبدیل شدند. توانایی این بدافزار در سازگاری و گسترش تمرکز جغرافیایی خود، تهدید مداوم آن را برای مشتریان بانکداری تلفن همراه در سراسر جهان برجسته میکند.
آخرین کمپین آمریکای شمالی، نشاندهندهی علاقهی روزافزون آناتسا به مؤسسات مالی ایالات متحده و کانادا و همچنین توانایی آن در تغییر سریع جهت و استفادهی مجدد از روشهای حملهی موفق با تغییرات جزئی است.
اقدامات حفاظتی و واکنش صنعت
از سازمانهای فعال در بخش خدمات مالی خواسته میشود که:
- فعالیتهای مشکوک ناشی از دستگاههای تلفن همراه را زیر نظر داشته باشید.
- مشتریان را در مورد خطرات پوششهای جعلی برنامه و بهروزرسانیهای غیرمجاز آموزش دهید.
- تقویت سازوکارهای احراز هویت برای شناسایی کلاهبرداری حتی در صورت لو رفتن اطلاعات احراز هویت.
پرچمهای قرمز کلیدی برای کاربران:
- برنامههایی که پس از بهروزرسانی، مجوزهای غیرمعمول درخواست میکنند.
- ظاهر شدن ناگهانی پوششهای «تعمیر و نگهداری» در برنامههای بانکی.
- تناقض در نام توسعهدهنده برنامه یا دستهبندی برنامه.
گوگل اعلام کرده است که برنامههای مخرب دخیل در این کمپین از فروشگاه گوگل پلی حذف شدهاند.
نکات پایانی
کمپین آناتسا یادآوری آشکاری است از اینکه اعتماد در اکوسیستمهای دیجیتال چقدر سریع میتواند مورد سوءاستفاده قرار گیرد. این بدافزار با ادغام شدن در محیط قابل اعتماد فروشگاه گوگل پلی، با موفقیت به هزاران دستگاه نفوذ کرد. آموزش مداوم، نظارت امنیتی پیشگیرانه و میزان مناسبی از شک و تردید، همچنان بهترین دفاع در برابر چنین تهدیدهای در حال تکاملی است.
