Un peligroso troyano bancario para Android se está propagando una vez más a través de la Google Play Store, ocultándose dentro de lo que parece ser una sencilla aplicación de lectura de documentos.

La aplicación ya ha sido descargada más de 100.000 veces, poniendo a un gran número de usuarios de Android en grave riesgo de robo financiero y pérdida de datos personales.

El malware en cuestión es Anatsa, también conocido como TeaBot, que apareció por primera vez en 2020. Desde sus inicios, ha evolucionado constantemente hasta convertirse en una de las amenazas bancarias para Android más sofisticadas descubiertas en estado salvaje.

Está diseñado para robar credenciales bancarias, registrar las pulsaciones del teclado y llevar a cabo transacciones fraudulentas, todo ello sin que la víctima se dé cuenta de que algo va mal.

La última variante ha ampliado su alcance para atacar a más de 831 instituciones financieras en todo el mundo, incluyendo aplicaciones bancarias, plataformas de inversión y servicios de criptomonedas.

Investigadores de Zscaler ThreatLabz, quienes compartieron sus hallazgos en un informe, identificaron la aplicación maliciosa como un dropper disfrazado de herramienta de gestión de archivos y lector de documentos.

Según el informe, la aplicación sigue un manual de estrategias ya conocido: parece completamente inofensiva cuando se instala por primera vez y luego descarga silenciosamente la carga útil (payload) real de Anatsa desde un servidor remoto en segundo plano.

Este método le ayuda a evadir los controles de seguridad que Google realiza en las aplicaciones antes de que estén disponibles en la Play Store.

Lo que hace que esta campaña destaque especialmente es lo bien que la aplicación mantiene su camuflaje.

Si el malware detecta que se está ejecutando dentro de un entorno de análisis, o si no puede contactar con su servidor de comando y control, simplemente muestra al usuario una interfaz de gestión de archivos funcional.

No hay ninguna señal obvia de que esté ocurriendo algo malicioso, que es precisamente lo que hace que sea tan difícil de detectar a tiempo.

Una vez que la carga útil está totalmente instalada y activa, Anatsa solicita permisos de accesibilidad al usuario.

Si se conceden, el malware habilita silenciosamente una amplia gama de permisos adicionales, incluida la capacidad de leer y recibir mensajes SMS, mostrar alertas del sistema y ejecutarse en modo pantalla completa.

Estos permisos le otorgan el acceso necesario para monitorizar silenciosamente todo lo que hagas en tu dispositivo.

Lector de documentos falso en la Google Play Store

La aplicación listada en la Play Store bajo el nombre de paquete com.westhorizont.appsforge.filehorizon_explorereaddocuments se presentaba como una herramienta legítima de gestión de archivos y lectura de documentos.

Una vez descargada, el instalador se conecta a un servidor remoto y, si el dispositivo pasa sus comprobaciones, descarga la carga útil completa del troyano bancario Anatsa disfrazada de una actualización rutinaria de la aplicación.

Para dificultar aún más la detección, el instalador utiliza la descifrado de cadenas de texto en tiempo de ejecución mediante una clave DES generada dinámicamente.

La carga útil está oculta dentro de un archivo ZIP corrupto con indicadores de compresión y cifrado inválidos, lo que provoca que la mayoría de las herramientas de análisis estático fallen por completo.

El nombre del paquete y el hash de instalación también se rotan periódicamente para evitar ser marcados por los sistemas de seguridad que rastrean identificadores conocidos.

Robo de credenciales y superposiciones bancarias dirigidas

Una vez que Anatsa está totalmente activo en un dispositivo, comienza a vigilar que el usuario abra cualquier aplicación bancaria o financiera.

Cuando detecta una, superpone una pantalla de inicio de sesión falsa que imita la aplicación real, engañándote para que introduzcas tus credenciales directamente en el malware.

Estas páginas falsas se descargan actualizadas desde el servidor C2 y están adaptadas a cualquier aplicación financiera que se encuentre en el dispositivo.

El troyano también ejecuta un registrador de teclas (keylogger) integrado que graba todo lo que escribes, y cifra toda la comunicación con su servidor C2 utilizando una clave XOR de un solo byte para mantener su tráfico bien oculto de las herramientas de monitorización de red.

Para mantenerte a salvo, deberías revisar cuidadosamente los permisos que solicita cualquier aplicación antes de concederlos. Si un lector de documentos pide acceso a los mensajes SMS o a los ajustes de accesibilidad, es una señal de alerta clara.

También es prudente ceñirse a aplicaciones de desarrolladores verificados, leer las reseñas recientes de los usuarios antes de instalar y mantener Google Play Protect activado en todo momento en tu dispositivo.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios han sido "desactivados" intencionadamente (ej., [.]) para evitar la resolución accidental o la creación de hipervínculos. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.