# Anatsa
> Tipo: **Android banking trojan** · 831+ bancos alvos · [Cleafy](https://www.cleafy.com) · [ThreatFabric](https://www.threatfabric.com) · [Zscaler ThreatLabz](https://www.zscaler.com/blogs/security-research/android-document-readers-and-deception-tracking-latest-updates-anatsa)
> [!danger] 831 Bancos, 5 Ondas de Ataque, Google Play Infiltrado Repetidamente
> O Anatsa (TeaBot) e o Android banking trojan com o maior escopo de alvos financeiros documentado: 831 aplicativos bancarios, fintech e de criptomoeda ao redor do mundo. Com cinco ondas de ataque distintas desde 2021 e infiltracoes repetidas no Google Play, o Anatsa tornou-se o mais persistente dos trojans Android bancarios ativos - sempre evoluindo técnicas de evasão para contornar protecoes do Play Store e do Android 13.
## Visão Geral
[[anatsa|Anatsa]] (também denominado **TeaBot**, **Toddler** e **ReBot**) e um Android banking trojan descoberto pela Cleafy em marco de 2021. Diferente de outros trojans que focam em um grupo de bancos específico, o Anatsa expandiu continuamente sua lista de alvos - de 60 bancos em 2021 para **831 instituicoes financeiras** em 2023-2025, um crescimento de mais de 500%.
O Anatsa combina:
- Técnica de dropper "limpo" no Google Play (app parece inofensivo; update posterior entrega payload)
- Streaming de tela em tempo real via Accessibility Services
- Fraude "On-Device" (ODF): transações fraudulentas iniciadas diretamente no dispositivo da vitima
- Alcance global crescente: Europa (Espanha, Alemanha, Italia, Belgica, Holanda), EUA, UK, Eslovaquia, Slovenia, Chequia, Coreia do Sul, Alemanha
**Cinco ondas de ataque documentadas (ThreatFabric 2023-2024):**
1. **Onda 1**: Reino Unido, EUA
2. **Onda 2**: Alemanha, Austria, Suica (DACH)
3. **Onda 3**: Espanha, Eslovaquia, Eslovenia
4. **Onda 4**: Chequia, expansao DACH
5. **Onda 5**: Global, 831 bancos, Coreia do Sul e Alemanha adicionados
**Caracteristicas técnicas distintas:**
- Dropper inicialmente limpo, sem payload - supera revisao do Play Store
- Updaté 1 semana após públicacao entrega payload malicioso via C2
- Bypass do **Android 13 restricted settings** para Accessibility Service
- DEX payload em arquivo JSON (dinâmicamente carregado e deletado em memoria)
- Payload cifrado com DES em runtime com chave específica por dispositivo
- Dados exfiltrados a cada **10 segundos** - ritmo agressivo
- Streaming de tela on-demand para operador (ODF)
- Modelos de overlay específicos para cada instituicao financeira
## Como Funciona
### Técnica do Dropper Duplo-Estagio
A técnica mais sofisticada do Anatsa para contornar o Google Play:
**Estagio 1 - Dropper aparentemente legitimo:**
- App públicado com funcionalidade real (leitor de PDF, scanner QR, leitor de documentos)
- Sem código malicioso - passa pela revisao do Play Store
- Aguarda 1 semana ou mais para ganhar base de usuarios e reviews positivos
- Em alguns casos, alcanca Top-3 em "Aplicativos Gratuitos Novos" no Play Store da regiao alvo
**Estagio 2 - Updaté malicioso:**
- Após acumular instalacoes, operadores enviam update ao app
- Updaté pede "add-on" ou download de arquivo adicional hospedado no GitHub
- Usuario precisa permitir instalacao de fontes desconhecidas - uma tela de "update" falsa convence
- Payload Anatsa instalado como segundo app ou carregado dinâmicamente em memoria
**Evasão do Android 13:**
- Android 13 restringe uso de Accessibility Service por apps instalados fora do Play Store
- Anatsa públicou dropper afirmando precisar da permissao para "hibernar apps que drenam bateria" - contornou a restricao
- Uma semana após públicacao, update ativou as acoes maliciosas via Accessibility
### Overlay e Fraude On-Device
O Anatsa usa dois modos combinados para captura de credenciais:
**Modo 1 - Overlay attack:**
- Monitora apps bancarios ativos
- Baixa pagina de login falsa específica para aquela instituicao do C2
- Exibe overlay sobre o app real - vitima nao percebe diferenca
- Dados submetidos vao ao C2, nao ao banco
**Modo 2 - Live streaming + ODF:**
- Operador se conecta ao dispositivo comprometido
- Streaming de tela em tempo real via Accessibility
- Operador executa a transferencia fraudulenta diretamente - On-Device Fraud
- Modo alternativo mais trabalhoso mas eficaz para contas de alto valor
**Coleta continua:** Anatsa exfiltra dados a cada 10 segundos para o C2, incluindo conteudo de tela, credenciais capturadas e códigos 2FA interceptados.
### Escopo de 831 Alvos
Os 831 alvos incluem:
- Bancos de varejo (Américas, Europa, Asia-Pacifico)
- Apps de fintech e pagamento digital
- Wallets e exchanges de criptomoeda
- Apps de seguros
- Apps de gestao de investimentos
Para cada alvo, o Anatsa mantem um inject (tela de overlay) específico. A Zscaler notou que em 2023 muitos injects para novos alvos estavam incompletos ou indisponiveis - indicando lista "work in progress" com expansao continua.
## Attack Flow
```mermaid
graph TB
A["Dropper no Play Store<br/>App legitimo (PDF, QR, docs)<br/>Sem código malicioso inicial"] --> B["Acumula Instalacoes<br/>Top-3 na regiao alvo<br/>Reviews positivos organicos"]
B --> C["Updaté Malicioso<br/>1 semana após publicacao<br/>Payload via GitHub ou C2"]
C --> D["Accessibility Solicitada<br/>Pretexto falso de funcionalidade<br/>Bypass Android 13"]
D --> E["Overlay por Banco<br/>Inject específico baixado<br/>Credenciais capturadas"]
E --> F["SMS 2FA Interceptado<br/>Códigos OTP roubados<br/>10s de ritmo de exfiltração"]
F --> G["ODF ou Overlay<br/>Operador acessa ao vivo<br/>ou transferencia automatizada"]
G --> H["Fraude Consumada<br/>Conta comprometida<br/>Vitima ve manutenção falsa"]
classDef dropper fill:#e74c3c,stroke:#c0392b,color:#fff
classDef grow fill:#e67e22,stroke:#d35400,color:#fff
classDef update fill:#f39c12,stroke:#d68910,color:#fff
classDef access fill:#8e44ad,stroke:#7d3c98,color:#fff
classDef collect fill:#3498db,stroke:#2980b9,color:#fff
classDef bypass fill:#27ae60,stroke:#229954,color:#fff
classDef fraud fill:#2c3e50,stroke:#1a252f,color:#fff
class A dropper
class B grow
class C update
class D access
class E,F collect
class G bypass
class H fraud
```
## Linha do Tempo
```mermaid
timeline
title Cinco Ondas do Anatsa
2021 Mar : Cleafy detecta Anatsa (TeaBot)
: Espanha, Alemanha, Italia, Belgica, Holanda
: 60 bancos como alvos iniciais
2021 Nov : 6 droppers no Play Store (ThreatFabric)
: 300.000 downloads na campanha
2022 Mar : QR Code Reader no Play Store
: 100.000+ downloads
: Expansao para 400 bancos
2023 Jun : Nova campanha - Onda 1 e 2
: UK, EUA, DACH (30.000 instalacoes)
2023 Nov : Ondas 3-5 iniciadas
: Slovakia, Slovenia, Czechia
: 5 droppers, 100.000+ instalacoes
2024 : 831 bancos alvos
: Coreia do Sul e Alemanha adicionados
: Bypass Android 13 documentado
```
| Período | Evento |
|---------|--------|
| Mar/2021 | Cleafy pública primeiro relatorio sobre TeaBot/Anatsa |
| Nov/2021 | ThreatFabric: 6 droppers no Play Store desde junho |
| Mar/2022 | QR Code Reader com 100.000+ downloads no Play Store |
| Jun/2023 | ThreatFabric: nova campanha Onda 1-2 (UK, EUA, DACH) - 30.000 instalacoes |
| Nov/2023 | ThreatFabric: Ondas 3-5, Slovakia, Slovenia, Czechia - 100.000+ instalacoes |
| 2023-2025 | Zscaler: 831 bancos alvos; 77 apps maliciosos com 19M instalacoes no Play |
## TTPs Mapeados (MITRE ATT&CK Mobile)
| Tática | Técnica | Uso pelo Anatsa |
|--------|---------|----------------|
| Initial Access | [[t1476-deliver-malicious-app\|T1476]] | APKs via Google Play (droppers limpos), GitHub, smishing |
| Initial Access | [[t1444-masquerade-as-legitimate-application\|T1444]] | PDF readers, QR scanners, leitores de documentos como dropper |
| Defense Evasion | [[t1406-obfuscated-files\|T1406]] | DEX em JSON, cifrado DES runtime, APK ZIP obfuscator |
| Collection | [[t1513-screen-capture\|T1513]] | Live streaming via Accessibility para ODF por operador |
| Collection | [[t1412-capture-sms\|T1412]] | Intercepta SMS bancarios (OTPs e códigos 2FA) |
| Credential Access | [[t1417-input-capture\|T1417]] | Keylogging de credenciais bancarias; Google Authenticator 2FA capturado |
| Command and Control | [[t1436-commonly-used-ports\|T1436]] | C2 com polling a cada 10 segundos; injects baixados por banco |
| Impact | [[t1516-input-injection\|T1516]] | ODF: operador executa transferencias fraudulentas diretamente no dispositivo |
## Relevância LATAM/Brasil
> [!warning] Banco Brasileiro na Lista dos 831?
> A Zscaler reportou em 2025 que o Anatsa expandiu para 831 instituicoes incluindo novas regioes como Coreia do Sul e Alemanha. Analistas brasileiros devem verificar periodicamente se aplicativos de bancos brasileiros foram adicionados a lista de injects do Anatsa - a tendencia de expansao continua torna isso cada vez mais provavel. O modelo de dropper limpo + update malicioso e dificil de detectar sem solução MTD.
> [!tip] Google Play como Vetor - Lição para Politicas Mobile Corporativas
> O Anatsa infiltrou o Google Play múltiplas vezes entre 2021-2025, incluindo apps que atingiram o Top-3 na categoria "Novos Gratuitos". Isso inválida politicas que assumem que "Google Play e seguro". Organizacoes precisam de Mobile Threat Defense (MTD) que analisa comportamento após instalacao, nao apenas reputacao da fonte.
**Setores impactados:**
- [[financial|Financeiro]] - 831 bancos e apps fintech em Américas, Europa e Asia-Pacifico
- Servicos de criptomoeda - wallets e exchanges incluidas
## Detecção e Defesa
> [!tip] Estrategias de Detecção
> - **Delay Updaté Pattern:** App recentemente instalado que recebe update 5-10 dias após instalacao solicitando permissao para instalar de fontes externas - padrao clássico Anatsa
> - **GitHub Payload Fetch:** App que faz GET request ao GitHub para baixar arquivo DEX ou APK após instalacao - IOC critico
> - **10-Second C2 Polling:** Processo Android que faz request HTTP a cada 10 segundos para C2 - cadencia de exfiltração do Anatsa
> - **DES Decryption at Runtime:** Rotina de decifrado DES em runtime com chave específica por dispositivo em app financeiro
> - **Overlay on Banking Apps:** App sem funcionalidade financeira exibindo webview sobre apps bancarios - overlay attack
**Controles recomendados:**
- Nunca instalar apps adicionais de dentro de outros apps instalados - vetor clássico Anatsa
- Implementar Mobile Threat Defense (MTD) em todos os dispositivos corporativos
- Ativar Google Play Protect e monitorar alertas de comportamento suspeito
- Revisar permissoes de Accessibility Service periodicamente
- [[m1017-user-training|M1017]] - treinar sobre atualizacoes de apps pedindo permissoes de instalacao
## Referências
- [1](https://www.zscaler.com/blogs/security-research/android-document-readers-and-deception-tracking-latest-updates-anatsa) Zscaler ThreatLabz - Android Document Readers and Deception: Tracking Anatsa (2025)
- [2](https://www.securityweek.com/anatsa-android-banking-trojan-continues-to-spread-via-google-play/) SecurityWeek - Anatsa Android Banking Trojan Continues to Spread via Google Play (2024)
- [3](https://securityaffairs.com/159344/malware/anatsa-banking-trojan-resurgence.html) Security Affairs - Anatsa Android banking Trojan expands to new countries (2024)
- [4](https://thehackernews.com/2022/03/teabot-android-banking-malware-spreads.html) The Hacker News - TeaBot Android Banking Malware Spreads Again (2022)
- [5](https://www.bleepingcomputer.com/news/security/android-malware-anatsa-infiltrates-google-play-to-target-us-banks/) BleepingComputer - Android malware Anatsa infiltrates Google Play to target US banks (2025)