5 aplikací z Google Play vám kradou hesla k bance. Ihned je smažte, má je přes 150 tisíc lidí

Pět nenápadných utilit pro čištění telefonu a čtení PDF sloužilo jako brána pro bankovní trojan. Česko patřilo mezi cílené země.

Zdroj fotografie: Pexels

Bezpečnostní firma ThreatFabric odhalila v únoru 2024 kampaň, při které se pět aplikací dostupných přímo v oficiálním obchodě Google Play změnilo v nástroje na kradení přihlašovacích údajů k mobilnímu bankovnictví. Podle serveru BleepingComputer si tyto aplikace stáhlo nejméně 150 tisíc uživatelů, přičemž šlo o konzervativní odhad; reálné číslo mohlo přesáhnout 200 tisíc. Google sice všech pět aplikací z obchodu stáhl, jenže u lidí, kteří je měli nainstalované, problém nezmizel sám od sebe. Anatsa totiž po instalaci funguje nezávisle na obchodu a dokáže převzít část řízení telefonu, včetně provádění neoprávněných transakcí z účtu.

Které aplikace to jsou a jak je najít

Názvy aplikací zní tak obecně, že je snadno přehlédnete. Rozhodující je proto takzvané ID balíčku, tedy technický identifikátor aplikace. Tady je kompletní seznam:

• Čistič telefonu – Průzkumník souborů (com.volabs.androidcleaner)
• Prohlížeč PDF – Průzkumník souborů (com.xolab.fileexplorer)
• Čtečka PDF – prohlížeč a editor (com.jumbodub.fileexplorerpdfviewer)
• Čistič telefonu: Průzkumník souborů (com.appiclouds.phonecleaner)
• Čtečka PDF: Správce souborů (com.tragisoap.fileandpdfmanager)

Jedna z těchto aplikací dosáhla před odstraněním až 100 tisíc stažení. Útočníci je cíleně tlačili do žebříčků typu Top New Free a Top Free Tools, kde působily jako běžné nástroje.

Jak se z nevinné aplikace stala zbraň

Síla této kampaně spočívala v tom, že aplikace při prvním schválení v Google Play neobsahovaly škodlivý kód. Prošly kontrolou, získaly publikum a teprve potom přišla aktualizace s dropperovou logikou. ThreatFabric popisuje vícestupňový proces: nejprve se ze vzdáleného serveru stáhla konfigurace, poté modul s kódem a nakonec samotný trojan Anatsa. Aktivace se navíc filtrovala podle výrobce telefonu, verze Androidu i země; v kódu se objevily filtry pro cz i sk. Jedna z vln z listopadu 2023 cílila specificky na zařízení Samsung s Androidem 13.

Po instalaci malware využil službu přístupnosti (Accessibility Service), překryl bankovní aplikace falešnými přihlašovacími obrazovkami, zaznamenával stisky kláves a dokázal číst dění na displeji. Nešlo tedy jen o krádež hesla. Šlo o snahu převzít kontrolu nad telefonem a provádět operace jménem uživatele.

Česko v hledáčku: říkají české banky

Česko figurovalo mezi cílovými zeměmi kampaně. Přesný počet českých instalací veřejně znám není, ale Komerční banka v dubnu 2024 ve svém přehledu hrozeb Anatsu jmenovitě zmínila a uvedla „větší počet případů napadení u klientů“. Popsala přitom stejný model útoku: černé obrazovky, překryvy a falešné výzvy k aktualizaci.

Anatsa přitom není jednorázový incident. ThreatFabric dokumentuje jeho vlny v letech 2021, 2023, 2024 a znovu v roce 2025. Modus operandi zůstává podobný: nasadit legitimně vypadající utilitu, počkat na schválení a pak ji proměnit ve zbraň. Už v roce 2023 byly potvrzeny reálné finanční ztráty u obětí v Evropě.

Co udělat, pokud jste některou z aplikací měli

Samotné smazání aplikace je nutný první krok, ale nestačí. Česká spořitelna ve svých bezpečnostních doporučeních radí:

• Aplikaci ihned odinstalovat.
• Vrátit telefon do továrního nastavení.
• Změnit hesla k internetovému bankovnictví.
• Při podezření okamžitě kontaktovat banku, protože malware mohl číst i potvrzovací SMS.

Varovné signály, že telefon může být infikovaný: aplikace náhle požaduje povolení služby přístupnosti, uvnitř vyskočí výzva k „nutné aktualizaci“ mimo Google Play nebo se při otevření bankovní aplikace objeví neobvyklá překryvná hláška.

Ani Google Play už není na 100 % bezpečný

Google tvrdí, že aplikace v Play procházejí kontrolou a průběžným prověřováním prostřednictvím Play Protect. Tato kauza ale ukazuje limit celého modelu: když škodlivý kód přijde až v pozdější aktualizaci a další části se stahují vzdáleně po částech, automatická kontrola ho nemusí zachytit včas. NÚKIB v samostatných doporučeních varuje před náhle populárními aplikacemi a doporučuje kontrolovat jejich oprávnění, zejména u utilit, které logicky žádná zvláštní oprávnění potřebovat neměly.

Pětice aplikací z Google Play je pryč. Trojan Anatsa ale ne; vrací se v nových obálkách a čeká na další vlnu uživatelů, kteří si stahují „čistič telefonu“ a nekontrolují, co po nich aplikace požaduje.