Kampaň útoku mobilného malvéru Anatsa

Výskumníci v oblasti kybernetickej bezpečnosti odhalili novú vlnu útokov malvéru na bankovníctvo v systéme Android, ktoré boli zorganizované prostredníctvom trójskeho koňa Anatsa. Táto sofistikovaná hrozba, známa aj ako TeaBot alebo Toddler, sa opäť objavila v kampani zameranej na používateľov v Spojených štátoch a Kanade, ktorá využíva klamlivé taktiky prostredníctvom zdanlivo legitímnych aplikácií zverejnených v Obchode Google Play.

Škodlivý softvér sa maskuje ako nástroje na správu dokumentov

V centre kampane je aplikácia maskovaná ako utilita s názvom „Prehliadač dokumentov – čítačka súborov“ (balík APK: „com.stellarastra.maintainer.astracontrol_managerreadercleaner“). Aplikácia, ktorá sa vydáva za neškodný nástroj na prácu s PDF súbormi, bola publikovaná vývojárom s názvom „Hybrid Cars Simulator, Drift & Racing“, čo je názov, ktorý sám o sebe vzbudzuje podozrenie. Po nazbieraní značného počtu stiahnutí do nej bola vložená aktualizácia s škodlivým kódom, ktorý stiahol a nainštaloval Anatsu na zariadenia obetí.

Táto konkrétna aplikácia bola spustená 7. mája 2025 a do 29. júna 2025 dosiahla štvrté miesto v kategórii Najlepšie bezplatné nástroje. Dovtedy nazbierala približne 90 000 stiahnutí, kým bola odstránená. Spoločnosť Google odvtedy potvrdila odstránenie tejto aplikácie a s ňou spojeného vývojárskeho účtu z Obchodu Play.

Nenápadné stratégie a známy postup

Kampaň Anatsa sa riadi osvedčeným cyklom:

Nasadenie legitímnej aplikácie : Nahrajte čistú a plne funkčnú aplikáciu do Obchodu Play.

Oneskorená infekcia : Po vybudovaní rozsiahlej používateľskej základne spustite aktualizáciu obsahujúcu škodlivý kód.

Tichá inštalácia : Škodlivý softvér sa nainštaluje ako samostatná aplikácia, mimo dohľadu pôvodného balíka.

Priradenie cieľa : Prijíma zoznam finančných inštitúcií na útok, dynamicky načítaný z externého servera.

Tento viacstupňový útok je súčasťou stratégie trvalého úspechu spoločnosti Anatsa. Tým, že kampaň v počiatočných fázach spi a aktivuje sa až po získaní dôvery a popularity, sa vyhýba včasnému odhaleniu a maximalizuje svoj vplyv počas krátkeho, ale efektívneho distribučného okna, v tomto prípade od 24. do 30. júna 2025.

Pokročilé možnosti pre finančné podvody

Po nainštalovaní umožňuje Anatsa celý rad škodlivých aktivít zameraných na finančné zneužívanie:

• Krádež poverení prostredníctvom útokov typu overlay a keyloggingu.
• Podvod s prevzatím zariadenia (DTO) na iniciovanie transakcií priamo zo zariadenia používateľa.

• Bránenie akciám používateľov prostredníctvom falošných oznámení o údržbe, ktoré bránia prístupu k legitímnym bankovým aplikáciám a oneskorujú odhaľovanie.

Tieto prekrytia klamú používateľov, aby si mysleli, že aplikácia ich banky je dočasne nedostupná z dôvodu údržby, pričom v skutočnosti sa prihlasovacie údaje odčerpávajú a potenciálne sa používajú na neoprávnené transakcie.

Globálny vývoj hrozby Anatsa

Malvér Anatsa, ktorý bol prvýkrát objavený v roku 2020, sa značne vyvinul. Začiatkom roka 2024 sa zamerala na používateľov na Slovensku, v Slovinsku a Českej republike pomocou podobných taktík, pričom neškodné aplikácie sa stali škodlivými týždne po prvom vydaní. Schopnosť malvéru prispôsobiť sa a rozšíriť svoje geografické zameranie podčiarkuje jeho pretrvávajúcu hrozbu pre zákazníkov mobilného bankovníctva na celom svete.

Najnovšia severoamerická kampaň odráža rastúci záujem spoločnosti Anatsa o finančné inštitúcie v USA a Kanade, ako aj jej schopnosť rýchlo sa prispôsobiť a s menšími úpravami opätovne použiť úspešné metódy útoku.

Ochranné opatrenia a reakcia priemyslu

Organizácie vo finančných službách sa vyzývajú, aby:

• Monitorujte podozrivú aktivitu pochádzajúcu z mobilných zariadení.
• Vzdelávajte zákazníkov o nebezpečenstvách falošných prekrytí aplikácií a neoprávnených aktualizácií.
• Posilniť mechanizmy autentifikácie na odhaľovanie podvodov aj v prípade ohrozenia prihlasovacích údajov.

Kľúčové varovné signály pre používateľov:

• Aplikácie, ktoré po aktualizáciách vyžadujú nezvyčajné povolenia.
• Náhle zobrazenie prekrytí „údržby“ v bankových aplikáciách.
• Nezrovnalosti v názve vývojára aplikácie alebo v kategórii aplikácie.

Spoločnosť Google uviedla, že škodlivé aplikácie zapojené do tejto kampane boli odstránené z Obchodu Google Play.

Záverečné myšlienky

Kampaň Anatsa je jasnou pripomienkou toho, ako rýchlo sa dá dôvera zneužiť v digitálnych ekosystémoch. Vďaka integrácii do dôveryhodného prostredia Obchodu Google Play sa malvéru podarilo úspešne preniknúť do tisícok zariadení. Najlepšou obranou proti takýmto vyvíjajúcim sa hrozbám zostáva neustále vzdelávanie, proaktívne monitorovanie bezpečnosti a zdravá dávka skepticizmu.