Специалисты по кибербезопасности зафиксировали новую волну активности трояна Anatsa, который целенаправленно атакует пользователей мобильного банкинга, преимущественно в Северной Америке, Великобритании и странах DACH (Германия, Австрия, Швейцария). Этот вредоносный программный комплекс, известный с 2020 года, вновь проявил себя в июне 2024 года, заразив десятки тысяч устройств через официальный магазин приложений Google Play.
Описание
Anatsa представляет собой высокотехнологичный банковский троян, способный на кражу учетных данных, автоматическое совершение мошеннических транзакций и полный захват управления устройством. По данным аналитиков ThreatFabric, жертвами злоумышленников уже стали более 30 000 пользователей, причем подтверждены реальные финансовые потери. Вредоносная программа маскируется под легальные приложения, такие как PDF-ридеры или файловые менеджеры, что позволяет ей обходить защитные механизмы Google Play и не вызывать подозрений у пользователей.
Особенностью последней кампании стало активное распространение трояна в США и Канаде. В июне один из зараженных PDF-ридеров попал в тройку самых популярных бесплатных инструментов в Google Play, набрав более 50 000 загрузок, прежде чем был удален. Вредоносная функциональность внедрялась через обновления приложений, которые загружали дополнительные модули с GitHub, избегая необходимости запрашивать дополнительные разрешения.
Как только троян получает доступ к устройству, он начинает сбор конфиденциальных данных с помощью фишинговых окон, имитирующих интерфейсы банковских приложений. Например, пользователю может быть показано сообщение о «плановом техническом обслуживании», чтобы скрыть кражу учетных данных. Anatsa также способен записывать нажатия клавиш, перехватывать SMS-сообщения и автоматически подтверждать транзакции через систему двухфакторной аутентификации, что делает его крайне опасным инструментом для мошенничества.
Эксперты отмечают, что злоумышленники целенаправленно адаптируют троян под новые регионы, включая Испанию, Финляндию, Южную Корею и Сингапур. Активность Anatsa носит волнообразный характер: после периодов активного распространения следует временное затишье, что усложняет его обнаружение.
Кибербезопасность мобильных банковских приложений становится критически важной задачей, учитывая рост подобных угроз. Пользователям рекомендуется скачивать приложения только из проверенных источников, внимательно изучать отзывы и обновлять антивирусное ПО. Финансовым учреждениям стоит усилить защиту от автоматизированных атак, таких как Anatsa, внедряя поведенческий анализ и multi-factor аутентификацию, устойчивую к перехвату.
В настоящее время Google уже удали несколько зараженных приложений, связанных с Anatsa, однако угроза остается актуальной. Аналитики предупреждают, что троян может вновь появиться в магазине приложений под новыми именами, используя те же схемы распространения. Рекомендуется проявлять особую осторожность при установке новых утилит и своевременно сообщать о подозрительной активности в службы поддержки банков и платформ.
Индикаторы компрометации
SHA256
- 16c3123574523a3f1fb24bbe6748e957afff21bef0e05cdb3b3e601a753b8f9d
- 1aafe8407e52dc4a27ea800577d0eae3d389cb61af54e0d69b89639115d5273c
- 2080061fe7f219fa0ed6e4c765a12a5bc2075d18482fa8cf27f7a090deca54c5
- 2db34aa26b1ca5b3619a0cf26d166ae9e85a98babf1bc41f784389ccc6f54afb
- 7231546ee377738cbe9075791eb6e76b7bc163c1b91831e05e81b4756fff4028
- 974eb933d687a9dd3539b97821a6a777a8e5b4d65e1f32092d5ae30991d4b544
- d4e9a95719e4b4748dba1338fdc5e4c7622b029bbcd9aac8a1caec30b5508db4
