یک برنامهٔ PDFخوان (PDF-lukija) که در گوگل‌پلی (Google Play) بیش از ۱۰ هزار بار نصب شده، تروجان بانکی آناتسا (Anatsa) را روی گوشی‌های اندرویدی پخش کرده است. این را تریت‌لبز (ThreatLabz)، واحد پژوهشی شرکت امنیت سایبری زی‌اسکیلر (Zscaler)، گزارش داده است.
⚠️اگر برنامه‌ای با شناسهٔ بسته (pakettitunnus) زیر روی گوشی شماست، همین حالا پاکش کنید و گوشی را از نظر بدافزار بررسی کنید:
com.railforge.footplate.documentreader_pdfviewer
تروجان بانکی (pankkitroijalainen) چیست؟
بدافزاری که خودش را برنامه‌ای بی‌خطر جا می‌زند، اما هدفش دزدیدن اطلاعات ورود به بانک و دسترسی به حساب‌های مالی صاحب گوشی است.
خود این برنامه مستقیماً تروجان را در خود نداشت، بلکه نقش نصب‌کننده (asentaja) را بازی می‌کرد. به گفتهٔ پژوهشگران، بعد از آن‌که کاربر PDFخوان را نصب می‌کرد، برنامه آناتسا را از یک سرور جداگانه دانلود می‌کرد.
رقم بیش از ۱۰ هزار نصب فقط نشان می‌دهد این برنامه در گوگل‌پلی چقدر پخش شده است. معنایش این نیست که آناتسا هم به همین تعداد گوشی رسیده باشد، و زی‌اسکیلر نگفته که بدافزار در نهایت روی چند دستگاه نصب شده است.
این تروجان چه می‌تواند بکند؟
آناتسا بدافزاری بانکی است که دستگاه‌های اندرویدی را هدف می‌گیرد و از سال ۲۰۲۰ دیده شده است. نسخه‌هایی که پیش‌تر بررسی شده‌اند، اول نگاه می‌کردند چه برنامه‌های بانکی و مالی‌ای روی گوشی نصب است.
این تروجان می‌توانست روی برنامهٔ واقعی بانک، یک صفحهٔ ورود جعلی نشان دهد. کاربر در آن حالت ممکن بود بی‌آن‌که بداند، نام کاربری و رمزش را مستقیم به دست مهاجمان بدهد.
نسخه‌های قبلی آناتسا ضربه‌های صفحه‌کلید (näppäinpainallukset) را هم ثبت می‌کردند و از سرویس‌های دسترس‌پذیری اندروید (esteettömyyspalvelut) سوءاستفاده می‌کردند. بدافزار با این راه می‌توانست دسترسی‌های گسترده بگیرد، اطلاعات روی صفحه را بخواند و مثلاً به پیامک‌ها دست پیدا کند.
زی‌اسکیلر در اوت ۲۰۲۵ گفته بود در تنظیمات آناتسا فهرستی از ۸۳۱ برنامهٔ مالی پیدا کرده که بدافزار آن‌ها را برای ثبت ضربه‌های صفحه‌کلید زیر نظر داشت. پژوهشگران هنوز نگفته‌اند کارزار تازه به‌طور خاص کدام کشورها یا بانک‌ها را هدف گرفته است.
چرا پاک کردن PDFخوان کافی نیست؟
اگر تروجان پیش از آن به‌صورت یک برنامهٔ جداگانه روی گوشی نصب شده باشد، پاک کردن PDFخوان اصلی لزوماً آناتسا را پاک نمی‌کند. این کارها را انجام دهید:
- برنامه را پاک کنید و گوشی را با گوگل‌پلی پروتکت (Google Play Protect) بررسی کنید.
- فهرست برنامه‌های نصب‌شده را مرور کنید و ببینید برنامه‌ای هست که یادتان نیست خودتان نصبش کرده باشید.
- در تنظیمات اندروید ببینید کدام برنامه‌ها به سرویس‌های دسترس‌پذیری، پیامک‌ها یا اجازهٔ نمایش روی برنامه‌های دیگر دسترسی دارند. چنین دسترسی‌هایی برای یک PDFخوان معمولی غیرعادی است.
- اگر برنامه هم‌زمان با استفاده از اپ بانک روی گوشی بوده، تراکنش‌های حساب و اعلان‌های بانک را بررسی کنید. اگر تراکنش مشکوکی دیدید با بانک تماس بگیرید و رمزهایتان را با یک دستگاه امن عوض کنید.
آناتسا پیش‌تر هم به همین شیوه به گوگل‌پلی راه یافته بود: در تابستان ۲۰۲۶ برنامهٔ دیگری که خودش را سندخوان جا زده بود، پیش از آن‌که کار مخربش لو برود بیش از ۱۰۰ هزار بار دانلود شد.