Negli ultimi mesi la sicurezza informatica su Android è stata messa a dura prova da una nuova ondata di campagne malware focalizzate sul settore bancario. Al centro di questa minaccia troviamo Anatsa, un trojan bancario noto anche come TeaBot o Toddler, che ha colpito circa 90000 utenti in Nord America tramite applicazioni fraudolente pubblicate sul Google Play Store. La strategia utilizzata dal trojan è sofisticata: l’app malevola si presenta inizialmente come un innocuo visualizzatore di PDF, denominato “Document Viewer - File Reader”, e solo dopo aver raggiunto una notevole base di utenti tramite download legittimi riceve un aggiornamento che inserisce codice dannoso.
Il funzionamento del malware Anatsa
Il malware Anatsa sfrutta tecniche avanzate per rubare credenziali bancarie, come la creazione di overlay ingannevoli che simulano la sospensione temporanea dell’app bancaria per manutenzione. In realtà, questa schermata serve a mascherare le attività malevole e a impedire agli utenti di contattare la banca, ritardando così la scoperta di eventuali frodi finanziarie. Una volta attivato, il trojan riceve una lista dinamica di istituti bancari bersaglio da un server remoto, permettendo ai cybercriminali di adattare rapidamente le proprie azioni e portare a termine furti di credenziali e transazioni fraudolente direttamente dai dispositivi delle vittime.
Il ciclo di attacco e la diffusione
Il ciclo di attacco di Anatsa segue un modello ben rodato: dopo aver pubblicato una app apparentemente legittima sul Play Store, il malware viene distribuito solo dopo che l’app raggiunge migliaia di installazioni. Questo modus operandi, già osservato in precedenti campagne che hanno colpito anche paesi europei come Slovacchia, Slovenia e Repubblica Ceca, si dimostra particolarmente efficace nell’eludere i controlli di sicurezza degli store ufficiali. La finestra di distribuzione della versione infetta è breve ma intensa, come avvenuto tra il 24 e il 30 giugno, periodo in cui l’app fraudolenta ha velocemente scalato le classifiche nella categoria “Top Free - Tools” del Play Store.
Le contromisure adottate e la necessità di attenzione
Google è intervenuta prontamente, rimuovendo tutte le applicazioni individuate come malevoli e attivando le protezioni di Google Play Protect. Tuttavia, l’episodio conferma come i trojan bancari, in particolare Anatsa, siano sempre più abili nello sfruttare le piattaforme ufficiali per diffondersi e colpire gli utenti, rendendo fondamentale una maggiore consapevolezza e attenzione al momento di scaricare nuove app, anche da fonti apparentemente sicure.
