Un lector de PDF malicioso para Android distribuido a través de Google Play ha registrado más de 10.000 instalaciones mientras servía como instalador para el troyano bancario Anatsa.

El hallazgo muestra cómo una herramienta de documentos rutinaria puede convertirse en una ruta para el malware que pone en riesgo las contraseñas bancarias y las cuentas financieras.

La cifra de instalaciones describe el alcance de la aplicación lectora, no un recuento confirmado de infecciones bancarias exitosas o cuentas robadas.

La alerta disponible tampoco identifica los bancos afectados, los países víctimas, las pérdidas financieras, ni si Google ha eliminado desde entonces este anuncio en particular, ya que esos detalles permanecen sin confirmar.

Investigadores de Zscaler ThreatLabz identificaron el instalador malicioso y compartieron sus indicadores en una alerta el 8 de octubre en X.

Describieron la aplicación como un lector de PDF para Android con más de 10.000 instalaciones y publicaron hashes de archivos separados para el instalador y la carga útil (payload) de Anatsa, junto con sus direcciones de comando y control.

El descubrimiento sigue a casos anteriores que involucraban disfraces similares. En abril, una campaña de lector de documentos falso utilizó un paquete diferente para distribuir Anatsa antes de que Google eliminara esa aplicación.

Esa eliminación anterior no debe confundirse con el estado del lector recién reportado, el cual la alerta actual no establece.

Lector de PDF malicioso con más de 10.000 instalaciones

Anatsa, también conocido como TeaBot, utiliza un modelo de "dropper": la aplicación instalada primero actúa como una herramienta de entrega para un componente malicioso separado.

Esta separación ayuda a explicar por qué una descarga que parece útil puede exponer posteriormente un teléfono al malware bancario. La última alerta identifica ambas etapas pero no proporciona un rastro de ejecución completo.

En su análisis técnico de Anatsa, ThreatLabz documentó campañas anteriores que descargaban código adicional y presentaban la carga útil final como una actualización de la aplicación.

Algunas muestras verificaban el entorno del dispositivo antes de proceder, ayudando al malware a evitar los sistemas de prueba utilizados por los investigadores. Estas son técnicas documentadas de la familia, no hallazgos confirmados para cada muestra nueva.

ThreatLabz también documentó encabezados de archivo APK malformados que hacían que las cargas útiles más antiguas fueran más difíciles de inspeccionar, junto con código cifrado cargado en tiempo de ejecución.

Los archivos APK son paquetes de instalación de Android; ocultar su contenido puede interrumpir las herramientas que inspeccionan archivos sin ejecutarlos. La nueva alerta no confirma si estas muestras utilizan esos métodos.

El uso más amplio de cargadores sigilosos de Google Play muestra por qué las solicitudes de actualización inesperadas merecen tu atención, incluso cuando la aplicación original provenga de una tienda oficial.

Una solicitud para instalar un componente adicional fuera del proceso normal de actualización puede trasladar al usuario desde una utilidad de apariencia inofensiva hacia la carga útil bancaria.

Para esta campaña, ThreatLabz enumeró una URL de comando y control relacionada con el instalador y dos puntos finales de comando y control para la carga útil.

Mantener esos roles separados es importante durante una investigación: el instalador y el troyano bancario son archivos diferentes, y cada uno tiene su propio hash MD5 publicado. La alerta no explica el contenido exacto devuelto por la URL del instalador.

Por qué las cuentas bancarias están en riesgo

Investigaciones anteriores de ThreatLabz descubrieron que Anatsa solicitaba permisos de SMS y accesibilidad, contactaba con su servidor de control y buscaba aplicaciones financieras específicas.

El servidor luego proporcionaba páginas de inicio de sesión falsas que coincidían con las aplicaciones del teléfono. Las credenciales introducidas en esas páginas eran enviadas a los atacantes en lugar de al banco.

Un brote anterior de lectores de documentos Anatsa alcanzó más de 100.000 descargas y utilizó pantallas bancarias falsas para capturar detalles de las cuentas.

Ese historial explica la preocupación en torno a este nuevo lector, pero su lista de objetivos y el comportamiento de sus permisos aún requieren una verificación específica de la muestra en lugar de suposiciones basadas en campañas más antiguas.

Qué deben hacer los usuarios de Android

Si instalaste el lector identificado, debes eliminarlo, revisar los permisos concedidos y escanear tu teléfono con una herramienta de seguridad confiable.

Mantén activado Google Play Protect y cuestiona cualquier solicitud inesperada de acceso a SMS o accesibilidad. Si tu actividad bancaria parece sospechosa, contacta al banco inmediatamente y cambia las contraseñas de tu cuenta desde un dispositivo seguro.

Para los equipos de seguridad, el nombre del paquete puede servir para realizar comprobaciones de inventario de aplicaciones, mientras que los hashes de los archivos ayudan a cotejar muestras con el instalador y la carga útil reportados.

Se pueden buscar en los registros de red el dominio y los puntos finales de IP enumerados. Las coincidencias deben revisarse en contexto para establecer qué dispositivo se comunicó, cuándo ocurrió el contacto y si el malware se ejecutó.