Eine landesweite Kampagne sendet SMS 'Post: App nicht aktuell, jetzt herunterladen' mit Link zu post-update.tk. Der Link installiert Anatsa, einen Android-Banking-Trojaner, der sich initial als PDF-Reader tarnt.
Einmal installiert, fordert Anatsa Accessibility-Services. Nach 48 Stunden injiziert es falsche Overlays auf legitime Bank-App, stiehlt Zugangsdaten und OTP in Echtzeit. Eine Buchhalterin in Padua verlor 14.500 EUR in drei Nacht-Transaktionen.
Mythos analysierte die APK: Signaturzertifikat einem bekannten Anatsa-Cluster zugeordnet, Manifest mit Accessibility-/Overlay-Berechtigungen, Binary-Hash in Threat-Intel-Feeds. Dossier verband Opfer mit größerer Kampagne mit über 4.200 infizierten Geräten.