成功绕过 Android 安全防护，Anatsa木马瞄准欧洲国家银行
内容提要
ThreatFabric的研究人员发现Anatsa银行木马复苏，该木马能够窃取银行登录凭证、信用卡信息和谷歌验证器的验证码，以及远程控制受感染的设备。
延伸解读
攻击目标转移的意图
Anatsa木马此前主要针对英国、德国和西班牙，但最新攻击转向斯洛伐克、斯洛文尼亚和捷克。这种区域转移表明其运营策略发生变化，可能意在开拓安全防护相对薄弱的新市场，或规避原有地区已加强的检测。研究人员认为其行为具有针对性，每波攻击仅聚焦少数区域，这有助于提高攻击成功率并降低被察觉的风险。
绕过Android 13安全限制的手法
Anatsa通过滥用Android辅助功能服务，并采用多阶段感染方式，成功绕过了Android 13对辅助服务的限制。恶意应用从C2服务器分步获取配置和恶意文件，避免一次性暴露全部行为，从而绕过Google Play商店的强化检测。这种分阶段策略使得恶意应用在初期看起来无害，增加了应用商店和用户识别的难度。
恶意应用的传播与伪装
携带Anatsa木马的应用被上传到目标地区的Google Play商店，并在“最新免费应用”分类中跻身前三名。这种高排名容易让用户误以为它们是合法且受欢迎的应用，从而放心下载。攻击者利用应用商店的排名机制和用户对官方商店的信任，扩大了恶意软件的传播范围，凸显了商店审核和排名算法可能被滥用的风险。
远控能力带来的欺诈风险
Anatsa支持覆盖攻击、窃取登录凭证和信用卡信息、拦截短信、键盘记录、窃取谷歌验证器验证码，并能通过辅助服务和实时屏幕共享获得设备的完全远程控制权。这意味着攻击者可以接管设备并代表受害者执行操作，直接进行未授权交易。因此，仅靠传统安全软件可能不足，需要监控账户异常行为以识别此类接管型欺诈。
Q&A
Anatsa银行木马最近针对哪些国家发起了攻击？
最新的攻击主要集中在斯洛伐克、斯洛文尼亚和捷克等欧洲国家。
Anatsa木马如何绕过Android 13的安全防护？
Anatsa通过滥用Android辅助功能服务，并采用多阶段感染策略，成功绕过了Android 13对辅助服务的限制设置。
Anatsa银行木马有哪些主要恶意功能？
Anatsa支持覆盖攻击、窃取登录凭证和信用卡信息、发送/截取/隐藏短信、启用键盘记录、窃取谷歌验证器验证码，以及通过辅助服务和实时屏幕共享获得对设备的完全远程控制权。
Anatsa木马是如何传播的？
携带恶意软件的应用被上传到目标地区的Google Play商店，并在“最新免费应用”分类中跻身前三名，诱使用户下载。
Anatsa木马在2023年11月至2024年2月期间发起了多少波攻击？
在这段时间内，Anatsa共发起了五波不同的攻击浪潮，每一波都针对不同区域。
如何有效检测和防范Anatsa这类银行木马？
需要有效检测和监控恶意应用，并观察客户账户的异常行为，这对于识别和调查与Anatsa这类接管型移动恶意软件相关的潜在欺诈案件至关重要。
