Зловредно приложение за четене на PDF с над 10 000 инсталирания от Google Play разпространява банковия троянец Anatsa

Злонамерено Android приложение за четене на PDF документи, разпространявано през Google Play, е регистрирало над 10 000 инсталирания, като същевременно служи като инсталатор за банковия троянец Anatsa.

Констатацията показва как стандартен инструмент за работа с документи може да се превърне в канал за разпространение на зловреден код, който излага на риск пароли за онлайн банкиране и финансови сметки.

Броят инсталирания описва обхвата на разпространение на приложението за четене, а не потвърден брой успешни банкови инфекции или откраднати профили.

Наличното предупреждение също така не идентифицира засегнатите банки, държавите с жертви, финансовите загуби или дали Google оттогава е премахнал това конкретно приложение, като тези подробности остават непотвърдени.

Изследователи от Zscaler ThreatLabz идентифицираха злонамерения инсталатор и споделиха неговите индикатори в предупреждение от 8 октомври в X.

Те описаха приложението като Android PDF четец с над 10 000 инсталирания и публикуваха отделни хешове на файлове за инсталатора и за зловредния код (payload) на Anatsa, заедно с техните адреси за командване и контрол (C2).

Откритието следва по-ранни случаи, включващи подобна маскировка. През април кампания с фалшив четец на документи използва различен пакет за разпространение на Anatsa, преди Google да премахне това приложение.

Това по-ранно премахване не бива да се бърка със статуса на новодокладвания четец, който настоящото предупреждение не изяснява.

Злонамерено PDF приложение с над 10 000 инсталирания

Anatsa, известен също като TeaBot, използва модел на дропер (dropper): първоначално инсталираното приложение действа като инструмент за доставяне на отделен злонамерен компонент.

Това разделение обяснява защо изтегляне, което изглежда полезно, по-късно може да изложи телефона на банков зловреден код. Последното предупреждение идентифицира и двата етапа, но не предоставя пълна следа на изпълнение.

В своя технически анализ на Anatsa от ThreatLabz документираха по-ранни кампании, които изтегляха допълнителен код и представяха крайния зловреден код като актуализация на приложението.

Някои проби проверяваха средата на устройството, преди да продължат, помагайки на зловредния код да избегне тестови системи, използвани от изследователи. Това са документирани техники на семейството, а не потвърдени констатации за всяка нова проба.

ThreatLabz документираха също така деформирани хедъри в APK архивите, които правят по-старите злонамерени кодове по-трудни за инспекция, заедно с криптиран код, зареждан по време на изпълнение.

APK файловете са инсталационни пакети за Android; скриването на тяхното съдържание може да попречи на инструментите, които анализират файлове, без да ги стартират. Новото предупреждение не потвърждава дали тези проби използват тези методи.

По-широката употреба на скрити инсталатори в Google Play показва защо неочакваните заявки за актуализация заслужават внимание, дори когато първоначалното приложение е дошло от официален магазин.

Заявка за инсталиране на допълнителен компонент извън нормалния процес на актуализация може да пренасочи потребителя от безвредно изглеждащ инструмент към банковия зловреден код.

За тази кампания ThreatLabz посочиха един свързан с инсталатора командно-контролен URL адрес и две крайни точки за командване и контрол на зловредния код.

Разграничаването на тези роли е от значение по време на разследване: инсталаторът и банковият троянец са различни файлове и всеки има собствен публикуван MD5 хеш. Предупреждението не обяснява точното съдържание, върнато от URL адреса на инсталатора.

Защо банковите сметки са изложени на риск

По-ранни проучвания на ThreatLabz установиха, че Anatsa изисква разрешения за SMS и за достъпност (accessibility permissions), свързва се със своя управляващ сървър и проверява за целеви финансови приложения.

След това сървърът предоставя фалшиви страници за вход, съответстващи на приложенията в телефона. Идентификационните данни, въведени в тези страници, се изпращат на атакуващите, а не на банката.

Предишна епидемия с четец на документи, разпространяващ Anatsa, достигна над 100 000 изтегляния и използваше фалшиви банкови екрани за прихващане на данни за сметки.

Тази история обяснява безпокойството около този нов четец, но неговият списък с цели и поведение спрямо разрешенията все още изискват потвърждение за конкретната проба, а не предположения, базирани на по-стари кампании.

Какво трябва да направят потребителите на Android

Потребителите, които са инсталирали идентифицирания четец, трябва да го премахнат, да прегледат предоставените разрешения и да сканират телефоните си с надежден инструмент за сигурност.

Поддържайте Google Play Protect включен и подлагайте под съмнение неочаквани заявки за достъп до SMS или разрешения за достъпност. Ако банковата дейност изглежда съмнителна, незабавно се свържете с банката и променете паролите за достъп от доверено устройство.

За екипите по сигурност името на пакета може да подпомогне проверките на инвентара от приложения, докато файловите хешове помагат за сравняване на пробите с докладваните инсталатор и зловреден код.

Мрежовите логове могат да бъдат претърсени за посочените домейни и IP крайни точки. Съвпаденията трябва да се прегледат в контекст, за да се установи кое устройство е комуникирало, кога е осъществен контактът и дали зловредният код се е изпълнил.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са нарочно неутрализирани (напр. [.]), за да се предотврати случайно разрешаване на имена или създаване на хипервръзки. Възстановете оригиналния им вид само в рамките на контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашия SIEM.