Una campagna su scala nazionale invia SMS 'Poste Italiane: la tua app non è aggiornata, scaricala ora' con link a poste-update.tk. Il link installa Anatsa, un banking trojan Android che si maschera da app PDF reader durante l'installazione iniziale.
Una volta installato, Anatsa richiede accessibility services per 'leggere PDF'. Dopo 48 ore inietta overlay falsi sull'app banca legittima quando l'utente la apre, ruba credenziali e OTP in tempo reale. Una commercialista padovana ha perso 14.500 EUR in tre transazioni notturne.
Mythos ha analizzato l'APK: certificato di firma riconducibile a un cluster Anatsa noto, manifest con permessi di accessibility e overlay, hash del binario in feed di threat intelligence. Il dossier ha collegato la vittima a una campagna più ampia con oltre 4.200 device infetti in Italia.