Une campagne nationale envoie des SMS 'Poste : votre app n'est pas à jour, téléchargez maintenant' avec lien vers post-update.tk. Le lien installé Anatsa, trojan banking Android qui se masque en lecteur PDF à l'installation initiale.
Une fois installé, Anatsa demande services d'accessibilite pour 'lire PDF'. Après 48 heures il injecte de faux overlays sur l'app banque legitime quand l'utilisateur l'ouvre, volé identifiants et OTP en temps réel. Une comptable de Padoue a perdu 14 500 EUR en trois transactions nocturnes.
Mythos a analysé l'APK : certificat de signature lié à un cluster Anatsa connu, manifest avec permissions accessibilite et overlay, hash du binaire dans feeds threat intel. Le dossier a relie la victime à une campagne plus large avec plus de 4 200 appareils infectés en Italie.