یک اپلیکیشن مخرب PDF Reader که از طریق فروشگاه گوگل پلی (Google Play) توزیع شده است، بیش از ۱۰,۰۰۰ بار نصب شده و به عنوان نصب‌کننده‌ای برای تروجان بانکی Anatsa عمل می‌کند. این یافته نشان می‌دهد که چگونه ابزارهای متداول مدیریت اسناد می‌توانند به مسیری برای ورود بدافزارهایی تبدیل شوند که رمزهای عبور بانکی و حساب‌های مالی کاربران را به خطر می‌اندازند.
مکانیزم عملکرد و مدل توزیع
تروجان Anatsa که با نام TeaBot نیز شناخته می‌شود، از مدل Dropper استفاده می‌کند؛ به این معنا که اپلیکیشنی که ابتدا نصب می‌شود، تنها به عنوان ابزاری برای تحویل یک جزء مخرب مجزا عمل می‌کند. این جداسازی باعث می‌شود اپلیکیشنی که در ابتدا کاربردی به نظر می‌رسد، در مراحل بعدی دستگاه را در معرض بدافزارهای بانکی قرار دهد.
تحلیل‌های فنی نشان می‌دهد که این بدافزار در برخی موارد، محیط دستگاه را بررسی می‌کند تا از شناسایی توسط سیستم‌های تست پژوهشگران جلوگیری کند. همچنین، استفاده از هدرهای تغییریافته در آرشیوهای APK و بارگذاری کدهای رمزگذاری شده در زمان اجرا (Runtime)، بازرسی این فایل‌ها را برای ابزارهای امنیتی دشوارتر می‌کند.
خطرات امنیتی و سرقت اطلاعات
بر اساس گزارش‌های منتشر شده، Anatsa برای دستیابی به اهداف خود اقدامات زیر را انجام می‌دهد:
- درخواست دسترسی‌های حساس مانند SMS و Accessibility.
- برقراری ارتباط با سرور فرماندهی و کنترل (C2) برای دریافت دستورات.
- بررسی وجود اپلیکیشن‌های مالی هدف روی دستگاه کاربر.
- نمایش صفحات ورود جعلی (Fake Login Pages) که دقیقاً مشابه اپلیکیشن‌های بانکی نصب شده روی گوشی هستند تا اطلاعات حساس کاربر را سرقت کند.
توصیه‌های امنیتی برای کاربران و تیم‌های SOC
کاربرانی که این اپلیکیشن را نصب کرده‌اند باید فوراً آن را حذف کرده، دسترسی‌های اعطا شده را بازبینی نمایند و دستگاه خود را با یک ابزار امنیتی معتبر اسکن کنند. همچنین توصیه می‌شود قابلیت Google Play Protect فعال باشد و نسبت به درخواست‌های غیرمنتظره برای دسترسی به SMS یا Accessibility حساس باشند.
برای تیم‌های امنیت و SOC، موارد زیر جهت شناسایی و پاسخ توصیه می‌شود:
- استفاده از نام پکیج (Package name) و هش‌های فایل (File Hashes) برای بررسی موجودی اپلیکیشن‌ها در شبکه.
- جستجو در لاگ‌های شبکه برای شناسایی ارتباط با دامنه‌ها و IPهای مربوط به سرورهای C2 این کمپین.
- بررسی دقیق ارتباطات دستگاه‌ها برای تشخیص زمان سرایت و اجرای بدافزار.
