Se encontraron más de 90 aplicaciones maliciosas de Android instaladas más de 5,5 millones de veces a través de Google Play para distribuir malware y adware, y el troyano bancario Anatsa experimentó un aumento reciente en su actividad.

Más de 90 aplicaciones Android maliciosas con 5,5 millones de instalaciones en Google Play

Anatsa (también conocido como "Teabot") es un troyano bancario que apunta a más de 650 aplicaciones de instituciones financieras en Europa, EE.UU., Reino Unido y Asia. Intenta robar las credenciales de banca electrónica de las personas para realizar transacciones fraudulentas.

En febrero de 2024, Threat Fabric informó que desde finales del año pasado, Anatsa había logrado al menos 150.000 infecciones a través de Google Play utilizando varias aplicaciones señuelo en la categoría de software de productividad.

Zscaler informa que Anatsa ha regresado a la tienda de aplicaciones oficial de Android y ahora se distribuye a través de dos aplicaciones señuelo: "PDF Reader & File Manager" y "QR Reader & File Manager".

En el momento del análisis de Zscaler, las dos aplicaciones ya habían acumulado 70.000 instalaciones, lo que demuestra el alto riesgo de que las aplicaciones dropper maliciosas pasen desapercibidas en el proceso de revisión de Google.

Una cosa que ayuda a las aplicaciones de Anatsa a evadir la detección es el mecanismo de carga de carga útil de varias etapas que implica cuatro pasos distintos:

• La aplicación Dropper recupera la configuración y las cadenas esenciales del servidor C2
• El archivo DEX que contiene un código dropper malicioso se descarga y activa en el dispositivo
• Se descarga el archivo de configuración con la URL de carga útil de Anatsa
• El archivo DEX recupera e instala la carga útil de malware (APK), completando la infección.
• El archivo DEX también realiza comprobaciones antianálisis para garantizar que el malware no se ejecute en entornos Sandbox o de emulación.