Pilne ostrzeżenie dotyczące aplikacji. Z pozoru wygląda jak zwykły program do otwierania dokumentów PDF. Nie wzbudza podejrzeń, jest dostępny w oficjalnym sklepie Google Play i ma już za sobą tysiące pobrań. Problem w tym, że za tak niewinnie wyglądającą aplikacją może kryć się poważne zagrożenie dla bezpieczeństwa smartfona i zgromadzonych na nim danych. Eksperci ds. cyberbezpieczeństwa ostrzegają przed oprogramowaniem, które może narazić użytkowników na utratę kontroli nad dostępem do ich pieniędzy. Jeśli korzystasz z Androida, warto sprawdzić, czy ten program nie znalazł się również na twoim urządzeniu.
Pilne ostrzeżenie dotyczące aplikacji. Niepozorny czytnik PDF może być poważnym zagrożeniem
Chodzi o aplikację PDF Reader opracowaną przez dewelopera Duka Zuri. Program był dostępny w oficjalnym sklepie Google Play, a liczba jego instalacji przekroczyła 10 tys. Jak ustalił zespół badawczy Zscaler ThreatLabz, aplikacja służyła do rozpowszechniania złośliwego oprogramowania Anatsa, znanego również jako zaawansowany trojan bankowy. Jego celem jest przechwytywanie danych, które mogą posłużyć przestępcom do uzyskania dostępu do kont finansowych.
Badacze wskazali również identyfikator pakietu aplikacji: com.railforge.footplate.documentreader_pdfviewer. To szczególnie przydatna informacja dla osób, które chcą zweryfikować, czy mają do czynienia z opisywanym programem. Sama liczba pobrań nie oznacza jednak, że wszystkie urządzenia zostały zainfekowane. Nie wiadomo, ilu użytkowników faktycznie padło ofiarą tego zagrożenia.
Anatsa potrafi ukrywać swoje prawdziwe działanie
Mechanizm działania tego zagrożenia jest szczególnie niebezpieczny, ponieważ aplikacja nie musi ujawniać swoich zamiarów od razu po instalacji. Początkowo program może zachowywać się jak zwyczajny czytnik dokumentów. Dopiero później pobiera z zewnętrznego serwera dodatkowe komponenty, które uruchamiają właściwe szkodliwe funkcje. W ten sposób aplikacja wykorzystywana jako przynęta może ominąć część kontroli bezpieczeństwa przeprowadzanych podczas publikacji w sklepie.
Według analiz Zscaler ThreatLabz oprogramowanie potrafi również sprawdzać, na jakim urządzeniu zostało uruchomione. W niektórych środowiskach może ograniczać swoje działanie i prezentować jedynie funkcje przypominające menedżer plików. Takie zachowanie utrudnia wykrycie zagrożenia podczas analizy. To właśnie dlatego obecność aplikacji w oficjalnym sklepie nie powinna być traktowana jako stuprocentowa gwarancja bezpieczeństwa.
Fałszywe okno logowania może wyglądać jak prawdziwa aplikacja banku
Jednym z najgroźniejszych elementów Anatsa jest możliwość wyświetlania fałszywych ekranów logowania na wierzchu innych aplikacji. Po uruchomieniu odpowiednich funkcji trojan może sprawdzać, z jakich aplikacji finansowych korzysta użytkownik. Jeśli rozpozna interesujący go program bankowy, może pobrać z infrastruktury przestępców ekran logowania dopasowany do konkretnej usługi.
Dla nieświadomej osoby taki formularz może wyglądać niemal identycznie jak oryginalny. Wpisanie w nim loginu i hasła może oznaczać przekazanie tych danych bezpośrednio cyberprzestępcom. Zagrożenie nie kończy się na samych hasłach. Anatsa może również wykorzystywać uprawnienia systemowe, w tym dostęp do wiadomości SMS, aby przechwytywać kody weryfikacyjne. Takie informacje mogą pomóc przestępcom w przeprowadzeniu kolejnych etapów ataku.
Uprawnienia dostępności mogą otworzyć drogę do przejęcia kontroli
Istotną rolę w działaniu trojana odgrywają usługi dostępności systemu Android. Funkcje te zostały zaprojektowane przede wszystkim po to, by ułatwiać korzystanie z urządzenia osobom z niepełnosprawnościami, ale przyznanie im nieodpowiednim aplikacjom może wiązać się z poważnym ryzykiem.
Według opisu badaczy Anatsa nakłania użytkowników do udzielenia takich uprawnień, a następnie wykorzystuje je do rozszerzania swoich możliwości. W połączeniu z innymi dostępami, na przykład do SMS-ów i wyświetlania okien nad innymi aplikacjami, może to znacząco zwiększyć zakres kontroli nad urządzeniem. Dlatego należy zachować szczególną ostrożność, gdy zwykły czytnik PDF prosi o dostęp, który nie jest potrzebny do otwierania dokumentów.
Co zrobić, jeśli masz ten czytnik na smartfonie?
Jeśli rozpoznajesz opisaną aplikację na swoim telefonie, nie ignoruj ostrzeżenia. Najbezpieczniej jest potraktować ją jako potencjalne zagrożenie i podjąć odpowiednie kroki.
- Odinstaluj aplikację PDF Reader wskazaną w ostrzeżeniu.
- Sprawdź uprawnienia dostępności i cofnij je nieznanym lub podejrzanym aplikacjom.
- Przejrzyj uprawnienia do SMS-ów oraz możliwość wyświetlania treści nad innymi aplikacjami.
- Uruchom kontrolę bezpieczeństwa telefonu, korzystając z Google Play Protect lub zaufanego narzędzia zabezpieczającego.
- Jeżeli korzystałeś z bankowości na tym urządzeniu i podejrzewasz infekcję, skontaktuj się z bankiem z innego, bezpiecznego urządzenia. Zmień dane logowania i sprawdź historię transakcji zgodnie z zaleceniami banku.
Samo usunięcie aplikacji nie daje pewności, że wszystkie skutki ewentualnej infekcji zostały wyeliminowane – podaje FutureZone.de. Jeśli występują oznaki przejęcia urządzenia, warto rozważyć dalszą diagnostykę z pomocą specjalisty. Przeczytaj także: W Niemczech za tę aplikację można dostać wysoki mandat. Ma ją niemal każdy Polak
Ponad 831 instytucji finansowych na celowniku wcześniejszej wersji
Anatsa nie jest nowym zagrożeniem. W analizie opublikowanej w sierpniu 2025 roku Zscaler ThreatLabz opisywał wcześniejszą wersję trojana, która według badaczy była ukierunkowana na ponad 831 instytucji finansowych na całym świecie. Na liście celów pojawiały się między innymi banki, a także platformy związane z kryptowalutami. Badacze wskazywali również na rozszerzenie zasięgu zagrożenia o kolejne kraje, w tym Niemcy i Koreę Południową.
Infrastruktura serwerowa wskazana w najnowszym ostrzeżeniu miała być powiązana z tą opisywaną wcześniej. Może to świadczyć o kontynuowaniu działalności przez osoby stojące za kampanią. Nie ma jednak potwierdzenia, że najnowsza aplikacja wykorzystuje dokładnie tę samą listę celów co wcześniejsza wersja trojana.