Złośliwa aplikacja na Androida, podszywająca się pod nieszkodliwą czytnik dokumentów i menedżer plików, została przyłapana na dystrybucji trojana bankowego Anatsa (TeaBot) — mimo że była dostępna w Google Play i miała ponad 50 000 pobrań.
Badacze z Zscaler ThreatLabz zidentyfikowali aplikację opublikowaną przez „ISTOQMAH”, która nakłania użytkowników do przyznania uprawnień umożliwiających w efekcie kradzież poświadczeń finansowych, nakładki phishingowe i oszukańcze transakcje.
🔍 Co robi Anatsa
Anatsa to zaawansowane złośliwe oprogramowanie bankowe na Androida, po raz pierwszy zaobserwowane w 2020 r. Jego możliwości obejmują:
- 📝 Kradzież poświadczeń
- ⌨️ Keylogging
- 💳 Ataki z użyciem nakładek na aplikacje bankowe i kryptowalutowe
- 🤖 Zautomatyzowane transakcje (ATS)
Ostatnie warianty były wymierzone w ponad 831 instytucji finansowych w Europie, Ameryce Północnej, Niemczech, Korei Południowej oraz na platformach kryptowalutowych.
🕵️ Jak działa fałszywa aplikacja
Złośliwa aplikacja udaje, że:
- Otwiera pliki PDF
- Skanuje dokumenty
- Zarządza plikami
Ale w tle:
- Pobiera ładunek Anatsa podszywający się pod „aktualizację”
- Używa ciągów znaków odszyfrowywanych algorytmem DES, aby uniknąć wykrycia statycznego
- Sprawdza właściwości urządzenia, aby unikać piaskownic
- Ukrywa złośliwy kod w uszkodzonych plikach ZIP/DEX
- Wyświetla fałszywy menedżer plików, jeśli kontrole zakończą się niepowodzeniem
Po aktywacji agresywnie żąda dostępu do usług ułatwień dostępu, a następnie po cichu przyznaje sobie wrażliwe uprawnienia, takie jak:
- SYSTEM_ALERT_WINDOW
- READ_SMS
- Możliwość wyświetlania nakładek i pełnoekranowego phishingu
Dzięki temu może wyświetlać fałszywe ekrany logowania imitujące prawdziwe aplikacje bankowe.
⚠️ Skala kampanii
ThreatLabz informuje, że Anatsa jest częścią większej fali dropperów złośliwego oprogramowania, które przedostają się do Google Play, podszywając się pod narzędzia produktywności.
Niedawno ze sklepu usunięto 77 podobnych aplikacji o łącznej liczbie 19 milionów instalacji.
🛡️ Kto jest zagrożony?
- Użytkownicy w Europie, Ameryce Północnej, Niemczech i Korei Południowej
- Klienci banków i giełd kryptowalut
- Każdy, kto pobiera „darmowe narzędzia” ze sklepu Play bez weryfikacji uprawnień
✔️ Zalecenia
Dla użytkowników:
- Dokładnie sprawdzaj uprawnienia przed instalacją aplikacji
- Unikaj aplikacji żądających zbędnego dostępu do ułatwień dostępu
- Odrzucaj „aktualizacje” przesyłane spoza Google Play
- Korzystaj z oprogramowania antywirusowego lub rozwiązań do ochrony przed zagrożeniami mobilnymi
Dla zespołów bezpieczeństwa:
- Przejrzyj wskaźniki IOC od ThreatLabz
- Monitoruj ruch wychodzący z urządzeń
- Przeprowadzaj analizę powłamaniową podejrzanych instalacji aplikacji
Wyrafinowane kampanie z użyciem dropperów, takie jak ta, pokazują nieustające wyzwanie związane z zabezpieczaniem oficjalnych sklepów z aplikacjami przed ewoluującymi rodzinami złośliwego oprogramowania.
