Anatsa: Banking-Trojaner für Android bedroht deutschsprachige Nutzer

Der Sicherheitsanbieter ThreatFabric weist auf eine aktuelle Bedrohung für deutschsprachige Android-Nutzer hin. Sicherheitsanalysten des Unternehmens fanden im Play Store mehrere schädliche Apps, die den Banking-Trojaner Anatsa einschleusen. Ausgerichtet ist die Kampagne, der bisher schätzungsweise mehr als 30.000 Opfer zählt, auf Nutzer in den USA, Großbritannien, sowie Deutschland, Österreich und der Schweiz.

Der Analyse zufolge verfügt der Trojaner über fortschrittliche Funktionen, um Sicherheitsfunktionen zum Schutz vor Betrug zu umgehen. Ziel der Hintermänner sei, mit Anatsa Anmeldedaten für mobile Banking-Apps zu stehlen, um betrügerische Transaktionen auszuführen. Zu diesem Zweck soll Anatsa in der Lage sein, Tastatureingaben aufzuzeichnen und Push- und SMS-Nachrichten abzufangen.

Google löscht – Betrüger legen nach

Per Overlay zeigt Anatsa gefälschte Anmeldeseiten von Banking-Apps an – laut ThreatFabric soll der Trojaner fast 600 verschiedene Banking-Apps unterstützen. Banken aus der DACH-Region seien der aktuelle Schwerpunkt der Cyberkriminellen. „In der letzten Iteration der Kampagne, mit der Einführung des neuen Droppers, identifizierte unser Fraud Intelligence Portal drei neue deutsche Bankanwendungen, die der Overlay-Zielliste von Anatsa hinzugefügt wurden, was einmal mehr den aktuellen Fokus der Akteure beweist“, teilte ThreatFabric mit.

Aktiv ist Anatsa bereits seit 2020. Seit März 2023 läuft die aktuelle Kampagne, für die die Hintermänner eine angebliche PDF-Anwendung im Google Play Store platzierten, die einen Dropper enthält. Nach der Installation der App wird das Opfer aufgefordert, den Zugriff auf eine GitHub-Website zuzulassen, um ein Add-on zu installieren. Dabei handelt es sich um den eigentlichen Trojaner.

ThreatFabric betonte, dass Google die schädliche App unverzüglich aus dem Play Store entfernt hat. Einen Monat später hätten die Hintermänner jedoch erneut eine PDF-App mit einem Dropper für Anatsa in den Play Store eingeschleust. Auch dieser sei von Google gelöscht worden – im Mai und im Juni hätten die Betrüger jedoch mit drei weiteren Droppern im Play Store nachgelegt.

„Wir möchten die Geschwindigkeit betonen, mit der die Akteure mit einem neuen Dropper zurückkehren, nachdem der vorherige entfernt wurde: Es dauert zwischen ein paar Tagen und ein paar Wochen, bis eine neue Dropper-Anwendung im Store veröffentlicht wird“, ergänzte ThreatFabric. Ende Juni sei ein weiterer Anatsa-Dropper entdeckt worden, der am 26. Juni noch online gewesen sei.