Una campaña a escala nacional envía SMS 'Correos: tu app está desactualizada, descárgala ahora' con un enlace a post-update.tk. El enlace instala Anatsa, un troyano bancario de Android que se hace pasar por un lector de PDF durante la instalación inicial.
Una vez instalado, Anatsa solicita los servicios de accesibilidad para 'leer PDF'. Tras 48 horas inyecta superposiciones falsas sobre la app legítima del banco cuando el usuario la abre, robando credenciales y OTP en tiempo real. Un contable de Padua perdió 14.500 EUR en tres transacciones nocturnas.
Mythos analizó el APK: certificado de firma vinculado a un clúster Anatsa conocido, manifiesto con permisos de accesibilidad y superposición, hash del binario en feeds de threat intel. El dossier vinculó a la víctima con una campaña más amplia con más de 4.200 dispositivos infectados en Italia.