Anatsa Android Trojan richt zich op slachtoffers in de VS en Europa

Er is een recente Android-malwarecampagne geïdentificeerd, die tot doel heeft de Anatsa-banktrojan te verspreiden en zich sinds maart 2023 te richten op klanten van financiële instellingen in de Verenigde Staten, het Verenigd Koninkrijk, Duitsland, Oostenrijk en Zwitserland.

Volgens ThreatFabric is de groep achter Anatsa van plan inloggegevens te stelen die worden gebruikt in apps voor mobiel bankieren en zich in te laten met Device-Takeover Fraud (DTO) om frauduleuze transacties uit te voeren. Het cyberbeveiligingsbedrijf zei dat dropper-apps die zijn geïnfecteerd met Anatsa, die zijn gevonden in de Google Play Store, al meer dan 30.000 installaties hebben verzameld. Dit geeft aan dat de officiële app store een effectief middel is geworden om de malware te verspreiden.

Anatsa, ook wel bekend als TeaBot en Toddler, verscheen voor het eerst begin 2021 en er is waargenomen dat het zichzelf vermomt als onschadelijke hulpprogramma-apps zoals pdf-lezers, QR-codescanners en tweefactorauthenticatie-apps (2FA) in de Google Play Store om gebruikers te extraheren. referenties. Sindsdien is het een van de meest wijdverspreide banktrojans geworden, gericht op meer dan 400 financiële instellingen wereldwijd.

De trojan heeft backdoor-achtige mogelijkheden om gegevens te extraheren en maakt gebruik van overlay-aanvallen om inloggegevens te stelen en gebruikersactiviteiten vast te leggen door gebruik te maken van de API voor toegankelijkheidsservices van Android. Bovendien kan het bestaande fraudecontrolemaatregelen omzeilen om ongeoorloofde geldovermakingen uit te voeren.

ThreatFabric wees erop dat het detecteren van Anatsa een uitdaging is gebleken voor fraudebestrijdingssystemen van banken, aangezien de frauduleuze transacties worden geïnitieerd vanaf hetzelfde apparaat dat regelmatig wordt gebruikt door de beoogde bankklanten.

Anatsa's werkwijze

In de recente campagne die door ThreatFabric is waargenomen, stuurt de dropper-app, eenmaal geïnstalleerd, een verzoek naar een GitHub-pagina die doorverwijst naar een andere GitHub-URL die de kwaadaardige payload host. Het doel is om slachtoffers te misleiden door zichzelf voor te doen als app-add-ons. Het vermoeden bestaat dat gebruikers via verdachte advertenties naar deze apps worden geleid.

Een opvallend kenmerk van de dropper is dat het gebruik maakt van de beperkte "REQUEST_INSTALL_PACKAGES"-machtiging, die herhaaldelijk is misbruikt door kwaadaardige apps die via de Google Play Store worden verspreid om extra malware op geïnfecteerde apparaten te installeren. De namen van de vijf dropper-apps die in deze campagne worden gebruikt, zijn als volgt:

• All Document Reader & Editor (com.mikijaki.documents.pdfreader.xlsx.csv.ppt.docs)
• All Document Reader en Viewer (com.muchlensoka.pdfcreator)
• PDF-lezer - PDF bewerken en bekijken (lsstudio.pdfreader.powerfultool.allinonepdf.goodpdftools)
• PDF-lezer en -editor (com.proderstarler.pdfsignature)
• PDF-lezer en -editor (moh.filemanagerrespdf)

Al deze dropper-apps zijn na hun eerste release geüpdatet, waarschijnlijk als een poging om heimelijk kwaadaardige functionaliteit te introduceren nadat ze tijdens de eerste indiening het app-beoordelingsproces met succes hebben doorstaan.

De landen die van groot belang zijn voor Anatsa, op basis van het aantal gerichte financiële aanvragen, zijn de Verenigde Staten, Italië, Duitsland, het Verenigd Koninkrijk, Frankrijk, de Verenigde Arabische Emiraten, Zwitserland, Zuid-Korea, Australië en Zweden. Finland, Singapore en Spanje worden ook genoemd in de lijst met beoogde landen.