Campagne d'attaque de logiciels malveillants mobiles Anatsa

Des chercheurs en cybersécurité ont découvert une nouvelle vague d'attaques de logiciels malveillants ciblant les services bancaires Android, orchestrées par le cheval de Troie Anatsa. Cette menace sophistiquée, également connue sous le nom de TeaBot ou Toddler, a refait surface avec une campagne ciblant les utilisateurs aux États-Unis et au Canada, utilisant des tactiques trompeuses via des applications apparemment légitimes publiées sur le Google Play Store.

Logiciel malveillant se faisant passer pour des outils de documentation

Au cœur de la campagne se trouve une application d'injection de virus déguisée en utilitaire intitulé « Document Viewer - File Reader » (package APK : « com.stellarastra.maintainer.astracontrol_managerreadercleaner »). Se faisant passer pour un outil PDF inoffensif, l'application a été publiée par un développeur nommé « Hybrid Cars Simulator, Drift & Racing », un nom qui suscite déjà des soupçons. Après avoir accumulé un nombre important de téléchargements, une mise à jour a intégré un code malveillant qui a téléchargé et installé Anatsa sur les appareils des victimes.

Cette application a été lancée le 7 mai 2025 et a atteint la quatrième place du classement des meilleurs outils gratuits le 29 juin 2025. Elle avait alors accumulé environ 90 000 téléchargements avant d'être supprimée. Google a depuis confirmé la suppression de cette application et de son compte développeur du Play Store.

Stratégies furtives et manuel de jeu familier

La campagne Anatsa suit un cycle éprouvé :

Déploiement d'applications légitimes : téléchargez une application propre et entièrement fonctionnelle sur le Play Store.

Infection retardée : après avoir créé une base d'utilisateurs importante, envoyez une mise à jour contenant du code malveillant.

Installation silencieuse : le logiciel malveillant s'installe en tant qu'application distincte, hors de vue du package d'origine.

Affectation de cible : Il reçoit une liste d'institutions financières à attaquer, récupérée dynamiquement à partir d'un serveur externe.

Cette attaque en plusieurs étapes s'inscrit dans la stratégie de réussite durable d'Anatsa. En restant inactive au début et en ne s'activant qu'après avoir gagné la confiance et l'adhésion, la campagne évite toute détection précoce et maximise son impact durant une fenêtre de diffusion courte mais efficace, en l'occurrence du 24 au 30 juin 2025.

Capacités avancées pour la fraude financière

Une fois installé, Anatsa permet une gamme d’activités malveillantes visant à l’exploitation financière :

• Vol d'informations d'identification via des attaques par superposition et par enregistrement de frappe.
• Fraude par prise de contrôle d'appareil (DTO) pour initier des transactions directement à partir de l'appareil de l'utilisateur.

• Obstruction des actions des utilisateurs via de faux avis de maintenance qui empêchent l'accès aux applications bancaires légitimes et retardent la détection.

Ces superpositions trompent les utilisateurs en leur faisant croire que l'application de leur banque est temporairement hors service pour maintenance, alors qu'en réalité, les informations d'identification sont siphonnées et potentiellement utilisées pour des transactions non autorisées.

Évolution mondiale de la menace Anatsa

Repéré pour la première fois en 2020, Anatsa a considérablement évolué. Début 2024, il ciblait des utilisateurs en Slovaquie, en Slovénie et en République tchèque en utilisant des tactiques similaires, des applications inoffensives devenant malveillantes quelques semaines après leur lancement initial. La capacité du malware à s'adapter et à étendre sa portée géographique souligne sa menace persistante pour les clients des services bancaires mobiles du monde entier.

La dernière campagne nord-américaine reflète l’intérêt croissant d’Anatsa pour les institutions financières américaines et canadiennes, ainsi que sa capacité à pivoter rapidement et à réutiliser des méthodes d’attaque efficaces avec des ajustements mineurs.

Mesures de protection et réponse de l’industrie

Les organisations du secteur des services financiers sont invitées à :

• Surveillez les activités suspectes provenant d'appareils mobiles.
• Sensibilisez les clients aux dangers des fausses superpositions d’applications et des mises à jour non autorisées.
• Renforcer les mécanismes d’authentification pour détecter les fraudes même lorsque les informations d’identification sont compromises.

Principaux signaux d’alarme pour les utilisateurs :

• Applications qui demandent des autorisations inhabituelles après les mises à jour.
• Apparition soudaine de superpositions de « maintenance » sur les applications bancaires.
• Incohérences dans le nom du développeur de l'application ou dans la catégorie de l'application.

Google a déclaré que les applications malveillantes impliquées dans cette campagne ont été supprimées du Google Play Store.

Réflexions finales

La campagne Anatsa nous rappelle brutalement à quelle vitesse la confiance peut être exploitée dans les écosystèmes numériques. En s'infiltrant dans l'environnement de confiance du Google Play Store, le logiciel malveillant a réussi à infiltrer des milliers d'appareils. Une sensibilisation continue, une surveillance proactive de la sécurité et une bonne dose de scepticisme restent la meilleure défense contre ces menaces en constante évolution.