Una nueva aplicación falsa de lector de documentos encontrada en Google Play Store ha estado instalando silenciosamente Anatsa, un potente troyano bancario para Android, en miles de dispositivos de usuarios. La aplicación maliciosa superó las 10.000 descargas antes de que Google la eliminara, exponiendo a un número significativo de usuarios de Android a un riesgo directo de fraude financiero y robo de credenciales. Anatsa no es un nombre nuevo en seguridad móvil. El malware apareció por primera vez en 2020 como un troyano bancario para Android diseñado para robar credenciales, registrar pulsaciones de teclas y realizar transacciones fraudulentas en dispositivos infectados sin el conocimiento del usuario. A lo largo de los años, se ha convertido en una de las amenazas bancarias móviles más persistentes, con su última variante ahora atacando a más de 831 instituciones financieras en todo el mundo, incluyendo bancos recién añadidos y plataformas de criptomonedas en países como Alemania y Corea del Sur. 

 Investigadores de Zscaler ThreatLabz identificaron la aplicación maliciosa en Google Play Store y publicaron sus hallazgos el 27 de abril de 2026. La app estaba disfrazada como un lector de archivos bajo el nombre de paquete com.groundstation.informationcontrol.filestation_browsefiles_readdocs y había superado las 10.000 descargas antes de que Google la retirara de la plataforma.

Este incidente es otro capítulo más en la campaña en curso de Anatsa, que ha utilizado repetidamente aplicaciones de utilidad de apariencia benigna para eludir las defensas de las tiendas de aplicaciones y llegar a usuarios reales a gran escala. La app utilizaba una técnica de dropper para permanecer sin ser detectada durante el proceso de revisión de la tienda. Una vez instalada, parecía funcionar normalmente como un lector de documentos, sin mostrar signos de actividad maliciosa. En segundo plano, se conectaba a un servidor remoto y descargaba la carga útil de Anatsa desde http://23.251.108[.]10:8080/privacy.txt, instalando silenciosamente el troyano sin alertas visibles para el usuario. 

Esta entrega en dos etapas está diseñada para superar las revisiones de las tiendas de aplicaciones, que solo evalúan las apps en el momento de la presentación. Este método de mantenerse limpio al principio y luego descargar malware más tarde ha sido una característica de las campañas de Anatsa durante años. Dado que los escaneos de seguridad de Google Play se centran en la versión inicial de una app, el troyano puede ingresar a la plataforma sin ser detectado y esperar hasta tener suficientes instalaciones antes de activarse. Para ese momento, el malware ya está ejecutándose en miles de dispositivos reales.

Mecanismo de infección y evasión de detección

Una vez que la carga útil de Anatsa se está ejecutando en un dispositivo, solicita permisos de accesibilidad al usuario. Si se conceden, el malware activa automáticamente un conjunto más amplio de privilegios, incluyendo superponer contenido sobre otras apps, interceptar mensajes SMS y mostrar alertas a pantalla completa. Estas capacidades se utilizan para capturar la actividad del usuario, robar credenciales bancarias e interferir con las interacciones de aplicaciones legítimas sin levantar sospechas evidentes. Para permanecer oculto de las herramientas de seguridad, Anatsa oculta su archivo DEX dentro de un archivo ZIP corrupto con banderas de compresión inválidas. El archivo solo se ejecuta en tiempo de ejecución y se elimina inmediatamente después de cargarse, lo que dificulta mucho su detección con herramientas estáticas. 

La carga útil se incrusta además dentro de un archivo JSON que se elimina durante la ejecución, dejando evidencia mínima de la infección en el dispositivo. Anatsa cifra todo el tráfico hacia sus servidores de comando y control utilizando una clave XOR de un solo byte. En esta campaña, los servidores C2 estaban alojados en http://172.86.91[.]94/api/, http://193.24.123[.]18:85/api/ y http://162.252.173[.]37:85/api/. Estos servidores entregan superposiciones de inicio de sesión bancario falsas que aparecen directamente sobre aplicaciones bancarias legítimas, engañando a los usuarios para que ingresen sus credenciales en páginas fraudulentas que parecen completamente reales. El malware también realiza comprobaciones de emulación y verifica el modelo del dispositivo antes de implementar la carga útil. Si detecta un entorno de pruebas o sandbox, simplemente muestra una interfaz limpia de gestor de archivos en lugar de lanzar el troyano. Este mecanismo de autodefensa integrado ayuda a Anatsa a permanecer sin ser detectado durante el análisis automatizado, dándole más tiempo para operar libremente en dispositivos reales sin ser marcado. Los usuarios de Android deberían revisar los permisos que solicita cualquier nueva app antes de aprobarlos. Los lectores de documentos y gestores de archivos no tienen ninguna razón legítima para solicitar permisos de accesibilidad o acceso a SMS. Mantener Google Play Protect activado, evitar apps de desarrolladores desconocidos y cuestionar cualquier app que solicite permisos inusuales son pasos prácticos que vale la pena seguir. Cualquiera que haya instalado la aplicación afectada debería desinstalarla inmediatamente y escanear su dispositivo con una herramienta de seguridad móvil confiable. Indicadores de Compromiso (IOCs):