Túto populárnu PDF čítačku odstráň z telefónu: Mala viac ako 10-tisíc inštalácií a šírila bankový trójsky kôň Anatsa

PDF čítačka dostupná cez Google Play nazbierala viac ako 10-tisíc inštalácií. Podľa bezpečnostných výskumníkov zo Zscaler ThreatLabz však neslúžila iba na otváranie dokumentov. Do telefónu mala dostať bankový trójsky kôň Anatsa, známy aj ako TeaBot.

ThreatLabz na aplikáciu upozornil 8. októbra. Vo zverejnených technických údajoch sa objavil názov balíka aplikácie, hash inštalátora aj identifikátory Anatsy, ktorú mal inštalátor následne stiahnuť.

Viac ako 10-tisíc inštalácií teda opisuje dosah aplikácie v Google Play. Samotný Zscaler pri tejto kampani nezverejnil počet telefónov, do ktorých sa Anatsa skutočne dostala.

PDF čítačka sa skrývala pod týmto názvom balíka

Aplikáciu môžeš identifikovať podľa názvu balíka com.railforge.footplate.documentreader_pdfviewer. Pod zdanlivo obyčajnou PDF čítačkou sa však skrýval inštalátor, ktorý mal zo vzdialeného servera stiahnuť do telefónu Anatsu.

Zscaler zverejnil hash pôvodnej aplikácie aj samotnej Anatsy. Výskumníci zároveň dohľadali server, z ktorého sa mal malvér sťahovať, a ďalšie servery používané po jeho spustení.

Súvisí s tým

Populárna aplikácia z Google Play šírila bankový trojan. Mala viac ako 100 tisíc stiahnutí a tvárila sa ako obyčajný čítač dokumentov

Ak tento balík v telefóne nájdeš, aplikáciu odstráň a spusti kontrolu cez Google Play Protect. Samotným zmazaním PDF čítačky však nemusí byť zariadenie čisté. Ak už stihla Anatsu stiahnuť a nainštalovať ako samostatnú aplikáciu, tá môže v telefóne zostať.

Anatsu si aplikácia stiahla až po inštalácii

Pri starších kampaniach Zscaler zachytil rovnaký trik. Aplikácia v Google Play pôsobila ako bežný správca súborov alebo čítačka dokumentov a škodlivú časť si stiahla až po inštalácii.

Ak sa nedokázala spojiť so serverom útočníkov alebo zariadenie neprešlo kontrolou, používateľovi jednoducho otvorila funkčnú aplikáciu na správu súborov. Keď podmienky splnila, zo vzdialeného servera si stiahla Anatsu, ktorá sa mohla tváriť ako aktualizácia.

Anatsa pritom nie je nová hrozba. Objavila sa už v roku 2020 a jej autori ju odvtedy viackrát upravili.

Pri aktuálnej októbrovej vzorke výskumníci potvrdili inštalátor aj následne sťahovanú Anatsu, celý priebeh infekcie však zatiaľ detailne nerozpísali. Pri opise ďalších schopností malvéru preto treba vychádzať z predchádzajúcich analyzovaných variantov.

Anatsa prekrýva bankové aplikácie falošnou prihlasovacou obrazovkou

Pri starších verziách Anatsy Zscaler zistil, že malvér si najprv zisťoval, aké bankové a finančné aplikácie má používateľ v telefóne. Pre niektoré z nich si potom zo servera útočníkov stiahol vlastnú falošnú prihlasovaciu obrazovku.

Tá sa zobrazila nad skutočnou bankovou aplikáciou. Používateľ tak mohol mať pocit, že zadáva prihlasovacie údaje priamo svojej banke, hoci ich v skutočnosti odovzdával útočníkom.

Anatsa zároveň používala keylogging, teda zaznamenávanie toho, čo používateľ zadáva. Pri starších kampaniach si pomáhala aj službami prístupnosti Androidu, cez ktoré dokázala získať ďalšie oprávnenia a lepšie sledovať dianie na obrazovke.

Analyzované varianty si týmto spôsobom vedeli sprístupniť napríklad SMS správy alebo povolenie zobrazovať vlastný obsah nad inými aplikáciami. Pre bankový malvér sú to veľmi užitočné oprávnenia, pre obyčajnú PDF čítačku však nedávajú veľký zmysel.

V konfigurácii Anatsy našli zoznam 831 finančných aplikácií

V analýze z augusta 2025 našiel Zscaler v konfigurácii Anatsy zoznam 831 finančných aplikácií sledovaných pre keylogging. Oproti starším verziám pribudlo viac ako 150 bankových a kryptomenových aplikácií.

Falošné prihlasovacie obrazovky pritom neboli pripravené pre všetky aplikácie zo zoznamu. Pri viacerých boli neúplné alebo v čase analýzy neboli zo servera útočníkov dostupné.

Staršie kampane zasahovali používateľov v Európe, Spojených štátoch, Spojenom kráľovstve a ďalších regiónoch. Pri aktuálnej aplikácii s viac ako 10-tisíc inštaláciami Zscaler zatiaľ konkrétne banky ani krajiny nezverejnil.

Predchádzajúca PDF čítačka s Anatsou mala vyše 100-tisíc stiahnutí

V júni 2026 mala ďalšia falošná čítačka dokumentov s Anatsou viac ako 100-tisíc stiahnutí. Už v januári Zscaler narazil na podobnú aplikáciu s viac ako 50-tisíc inštaláciami.

Názvy aplikácií, balíkov aj ďalšie identifikátory sa medzi jednotlivými kampaňami menia. Keď Google jednu aplikáciu odstráni, útočníci môžu skúsiť dostať do obchodu ďalšiu pod novým názvom.

Aj v týchto prípadoch sa pritom škodlivá aplikácia dostala k používateľom cez Google Play, nie cez APK súbor stiahnutý z neznámeho webu.

Po odstránení aplikácie ešte skontroluj, či v telefóne nezostala Anatsa

Ak v telefóne nájdeš balík com.railforge.footplate.documentreader_pdfviewer, aplikáciu odstráň a spusti kontrolu cez Google Play Protect. Pozri sa aj na zoznam nainštalovaných aplikácií a skontroluj, či sa tam neobjavila ďalšia, ktorú si sám neinštaloval.

Pri starších verziách Anatsy zohrávali veľkú úlohu služby prístupnosti. V Androide preto otvor sekciu Prístupnosť a skontroluj, ktoré aplikácie k nej majú povolený prístup. Ak ho má PDF čítačka, správca súborov alebo iná aplikácia, pri ktorej ti takéto oprávnenie nedáva zmysel, zruš ho.

Pozri si aj oprávnenia na čítanie SMS správ a zobrazovanie obsahu nad ostatnými aplikáciami. Práve tieto možnosti využívali analyzované varianty Anatsy pri útokoch na bankové aplikácie.

Ak si mal aplikáciu nainštalovanú v čase, keď si používal mobilné bankovníctvo, prejdi si transakcie a upozornenia z banky. Pri neznámej platbe alebo inom podozrení kontaktuj banku a heslo zmeň z iného zariadenia.

Ak kontrola nájde ďalší škodlivý softvér alebo nevieš spoľahlivo určiť, čo všetko sa do telefónu stihlo nainštalovať, zostáva ešte obnovenie zariadenia do výrobných nastavení. Predtým si zálohuj fotografie, kontakty a ďalšie dáta, ktoré nechceš stratiť.