Una nueva investigación de la firma de ciberseguridad ThreatFabric ha revelado una campaña reciente del troyano bancario para Android conocido como Anatsa, también denominado TeaBot o Toddler, que ha logrado infiltrarse de nuevo en Google Play para atacar a usuarios de EE.UU. y Canadá.
Anatsa lleva años (se cree que desde 2020) siendo una de las amenazas más potentes en el ámbito del malware móvil financiero, pero lo que destaca en esta última campaña es el modo en que se ha desplegado. Los atacantes han seguido un proceso muy depurado y meticuloso, ya utilizado con éxito en campañas anteriores: en principio publican en Google Play una aplicación aparentemente legítima, como un lector de PDF o una herramienta de limpieza del dispositivo.
Posteriormente, esta app pasa los filtros de seguridad de la tienda de Android, gana popularidad acumulando descargas e incluso buenas valoraciones y semanas después recibe una actualización. Es entonces cuando, desde un servidor remoto, se descarga y ejecuta el componente malicioso que instala el verdadero troyano.
A partir de ahí, Anatsa comienza a recibir instrucciones desde su servidor de comando y control (C2), incluyendo la lista de aplicaciones bancarias objetivo y despliega su arsenal de funciones para sustraer datos y manipular la operativa del dispositivo sin que el usuario lo perciba.
Una amenaza localizada
En esta ocasión, la campaña se ha focalizado específicamente en Norteamérica, algo que no es casual. El informe de ThreatFabric señala que una de las apps distribuidoras de Anatsa llegó a alcanzar el top 3 de descargas gratuitas en la categoría de herramientas de Google Play en EE.UU., superando las 50.000 instalaciones en apenas una semana. Se trataba de un lector de PDF que, tras alcanzar masa crítica de usuarios, desplegó un dropper que descargaba la carga útil del malware solo si el dispositivo de la víctima estaba ubicado en EE. UU. o Canadá. Esta geoselección tiene como objetivo evadir la detección global y centrar el ataque en regiones de mayor interés económico.
Además, el malware abusa del servicio de accesibilidad del sistema operativo Android, lo que le permite realizar acciones de forma silenciosa y sin interacción del usuario, como introducir textos, concederse permisos o manipular interfaces.
Uno de los aspectos más preocupantes es que este tipo de malware no se limita a robar credenciales para luego venderlas o usarlas en otro dispositivo. Anatsa realiza las operaciones directamente desde el terminal infectado, lo que le permite sortear muchas de las medidas antifraude de los bancos, ya que las transacciones parecen legítimas al originarse en un dispositivo de confianza para la entidad financiera. Este mecanismo de “device takeover” lo sitúa un peldaño por encima de muchas otras amenazas móviles.
ThreatFabric subraya que la campaña en Google Play se desarrolló de forma cuidadosamente escalonada. Durante las seis primeras semanas la app permaneció inactiva desde el punto de vista malicioso. Solo tras ese periodo se activó la descarga del payload desde un servidor externo, lo que dificultó su detección por parte de los sistemas automatizados de Google. Esta táctica, unida al control de descarga por geolocalización, explica cómo ha podido mantenerse operativa durante tanto tiempo.
Acerca del autor
