Anatsa Mobile Malware-Angriffskampagne

Cybersicherheitsforscher haben eine neue Welle von Android-Banking-Malware-Angriffen aufgedeckt, die über den Trojaner Anatsa orchestriert werden. Diese raffinierte Bedrohung, auch bekannt als TeaBot oder Toddler, ist mit einer Kampagne wieder aufgetaucht, die sich an Nutzer in den USA und Kanada richtet und dabei irreführende Taktiken über scheinbar legitime Anwendungen im Google Play Store einsetzt.

Als Dokumenttools getarnte Malware

Im Zentrum der Kampagne steht eine Dropper-App, getarnt als Dienstprogramm mit dem Namen „Document Viewer - File Reader“ (APK-Paket: „com.stellarastra.maintainer.astracontrol_managerreadercleaner“). Die App, getarnt als harmloses PDF-Tool, wurde von einem Entwickler namens „Hybrid Cars Simulator, Drift & Racing“ veröffentlicht – ein Name, der schon allein Verdacht erregt. Nachdem die App eine beträchtliche Anzahl an Downloads erreicht hatte, bettete ein Update Schadcode ein, der Anatsa auf die Geräte der Opfer herunterlud und installierte.

Diese App ging am 7. Mai 2025 online und erreichte bis zum 29. Juni 2025 den vierten Platz in der Kategorie „Top Free – Tools“. Bis dahin hatte sie rund 90.000 Downloads verzeichnet, bevor sie entfernt wurde. Google hat inzwischen die Entfernung dieser App und des zugehörigen Entwicklerkontos aus dem Play Store bestätigt.

Heimliche Strategien und vertrautes Spielbuch

Die Anatsa-Kampagne folgt einem bewährten Zyklus:

Legitime App-Bereitstellung : Laden Sie eine saubere, voll funktionsfähige App in den Play Store hoch.

Verzögerte Infektion : Nachdem Sie eine beträchtliche Benutzerbasis aufgebaut haben, veröffentlichen Sie ein Update mit schädlichem Code.

Stille Installation : Die Malware wird als separate App installiert, außerhalb des Sichtfelds des Originalpakets.

Zielzuweisung : Es erhält eine Liste der anzugreifenden Finanzinstitute, die dynamisch von einem externen Server abgerufen wird.

Dieser mehrstufige Angriff ist Teil von Anatsas nachhaltiger Erfolgsstrategie. Indem die Kampagne in frühen Phasen ungenutzt bleibt und erst aktiviert wird, wenn Vertrauen und Zugkraft gewonnen wurden, vermeidet sie eine frühzeitige Erkennung und maximiert ihre Wirkung während eines kurzen, aber effektiven Verbreitungsfensters, in diesem Fall vom 24. bis 30. Juni 2025.

Erweiterte Funktionen zur Bekämpfung von Finanzbetrug

Nach der Installation ermöglicht Anatsa eine Reihe bösartiger Aktivitäten, die auf finanzielle Ausbeutung abzielen:

• Diebstahl von Anmeldeinformationen durch Overlay-Angriffe und Keylogging.
• Device-Takeover-Fraud (DTO), um Transaktionen direkt vom Gerät des Benutzers aus zu initiieren.

• Behinderung von Benutzeraktionen durch gefälschte Wartungshinweise, die den Zugriff auf legitime Banking-Apps verhindern und die Erkennung verzögern.

Diese Overlays täuschen Benutzer vor, dass die App ihrer Bank wegen Wartungsarbeiten vorübergehend nicht erreichbar sei. In Wirklichkeit werden jedoch Anmeldeinformationen abgeschöpft und möglicherweise für nicht autorisierte Transaktionen verwendet.

Globale Entwicklung der Anatsa-Bedrohung

Anatsa wurde erstmals 2020 entdeckt und hat sich seitdem erheblich weiterentwickelt. Anfang 2024 zielte es mit ähnlichen Taktiken auf Nutzer in der Slowakei, Slowenien und Tschechien ab: Aus harmlosen Apps wurden wenige Wochen nach ihrer Veröffentlichung Schadprogramme. Die Fähigkeit der Malware, sich anzupassen und ihren geografischen Fokus zu erweitern, unterstreicht ihre anhaltende Bedrohung für Mobile-Banking-Kunden weltweit.

Die jüngste Kampagne in Nordamerika spiegelt das zunehmende Interesse von Anatsa an US-amerikanischen und kanadischen Finanzinstituten sowie die Fähigkeit des Unternehmens wider, sich schnell anzupassen und erfolgreiche Angriffsmethoden mit geringfügigen Anpassungen wiederzuverwenden.

Schutzmaßnahmen und Reaktion der Industrie

Organisationen im Finanzdienstleistungssektor werden dringend dazu aufgefordert:

• Überwachen Sie verdächtige Aktivitäten, die von Mobilgeräten ausgehen.
• Informieren Sie Kunden über die Gefahren gefälschter App-Overlays und nicht autorisierter Updates.
• Stärken Sie die Authentifizierungsmechanismen, um Betrug auch dann zu erkennen, wenn die Anmeldeinformationen kompromittiert sind.

Wichtige Warnsignale für Benutzer:

• Apps, die nach Updates ungewöhnliche Berechtigungen anfordern.
• Plötzliches Auftauchen von „Wartungs“-Overlays auf Banking-Apps.
• Inkonsistenzen beim Namen des App-Entwicklers oder der App-Kategorie.

Google hat erklärt, dass die an dieser Kampagne beteiligten Schad-Apps aus dem Google Play Store entfernt wurden.

Abschließende Gedanken

Die Anatsa-Kampagne zeigt deutlich, wie schnell Vertrauen in digitale Ökosysteme missbraucht werden kann. Indem sie sich in die vertrauenswürdige Umgebung des Google Play Stores einschlich, infiltrierte die Malware erfolgreich Tausende von Geräten. Kontinuierliche Aufklärung, proaktive Sicherheitsüberwachung und eine gesunde Portion Skepsis bleiben die beste Verteidigung gegen solche sich entwickelnden Bedrohungen.