Anatsa (còn gọi là "Teabot") nhắm mục tiêu hơn 650 ứng dụng của các tổ chức tài chính ở châu Âu, Mỹ, Anh và châu Á. Nó có khả năng đánh cắp thông tin đăng nhập ngân hàng trực tuyến (e-banking) của người dùng để thực hiện các giao dịch gian lận.

Vào tháng 2 năm 2024, Threat Fabric đã báo cáo rằng kể từ cuối năm ngoái, Anatsa đã đạt được ít nhất 150.000 ca lây nhiễm thông qua Google Play bằng cách sử dụng nhiều ứng dụng mồi nhử khác nhau trong danh mục phần mềm năng suất.

Mới đây, Zscaler báo cáo rằng Anatsa đã xuất hiện trở lại trên cửa hàng ứng dụng chính thức của Android và hiện được phát tán thông qua hai ứng dụng mồi nhử: 'PDF Reader & File Manager' và 'QR Reader & File Manager'.

Tại thời điểm Zscaler phân tích, hai ứng dụng này đã có 70.000 lượt cài đặt, cho thấy nguy cơ cao các dropper (ứng dụng được thiết kế để triển khai ứng dụng khác sau khi nó được cài đặt) độc hại vượt qua quá trình kiểm tra của Google.

Một điều giúp các dropper của Anatsa không bị phát hiện là cơ chế tải payload (tệp độc hại) nhiều giai đoạn, bao gồm bốn bước:

- Dropper lấy cấu hình và các thông tin cần thiết từ máy chủ kiểm soát tấn công

- Tệp DEX chứa dropper độc hại được tải xuống và kích hoạt trên thiết bị

- Tệp cấu hình với URL payload của Anatsa được tải xuống

- Tệp DEX tải và cài đặt payload phần mềm độc hại (APK), hoàn tất quá trình lây nhiễm

Tệp DEX cũng thực hiện các bước kiểm tra để đảm bảo phần mềm độc hại sẽ không được thực thi trong sandbox hoặc môi trường mô phỏng.

Sau khi Anatsa thiết lập và chạy trên thiết bị mới bị nhiễm, nó sẽ tải lên cấu hình bot và kết quả quét ứng dụng, sau đó tải xuống các thành phần bổ sung tùy thuộc vào vị trí và thông tin của nạn nhân.

Các mối đe dọa khác trên Google Play

Zscaler báo cáo rằng trong vài tháng qua, họ đã phát hiện hơn 90 ứng dụng độc hại trên Google Play, đã được cài đặt tổng cộng 5,5 triệu lần.

Hầu hết các ứng dụng độc hại mạo danh các công cụ, ứng dụng cá nhân hóa (personalization app), ứng dụng chụp ảnh, năng suất cũng như ứng dụng sức khỏe & thể dục.

Năm họ phần mềm độc hại phổ biến là Joker, Facestealer, Anatsa, Coper cùng nhiều phần mềm quảng cáo khác nhau.

Mặc dù Anatsa và Coper chỉ chiếm 3% tổng số lượt tải xuống độc hại từ Google Play nhưng chúng nguy hiểm hơn nhiều so với các ứng dụng khác, có khả năng thực hiện lừa đảo trên thiết bị và đánh cắp thông tin nhạy cảm.

Khi cài đặt ứng dụng mới trên Google Play, bạn cần lưu ý các quyền được yêu cầu và từ chối những quyền liên quan đến các hoạt động có rủi ro cao như dịch vụ trợ năng (accessibility), SMS và danh sách liên hệ.

Các nhà nghiên cứu không tiết lộ tên của hơn 90 ứng dụng và liệu chúng có bị báo cáo cho Google để gỡ bỏ hay không. Tuy nhiên, hai ứng dụng phát tán Anatsa được Zscaler phát hiện đã bị xóa khỏi Google Play.