Používáte čtečku PDF nebo čistič telefonu? Právě v nich se schovává malware, který cílí na české banky

Bankovní trojan Anatsa se opakovaně vrací na Google Play maskovaný jako běžná utilita, a Česko patří mezi jeho cílové regiony.

Zdroj fotografie: Pexels

Čtečka PDF, správce souborů nebo čistič paměti. Aplikace, které si člověk stáhne bez dlouhého přemýšlení, protože je občas potřebuje a v obchodě Google Play vypadají neškodně. Právě mezi těmito nástroji se ale opakovaně objevují škodlivé programy, které ohrožují i české uživatele. Prvním z nich je bankovní trojan Anatsa, který se zaměřuje na finanční aplikace a dokáže krást přihlašovací údaje k bankovnictví. Druhým je rootkit NoVoice, který se v březnu 2026 skrýval ve více než 50 aplikacích na Google Play. Na starších nebo nezabezpečených telefonech dokázal získat tak rozsáhlá oprávnění, že ho nemusel odstranit ani běžný tovární reset. Obě hrozby mají společný princip: aplikace při instalaci vypadá neškodně, ale škodlivý kód si stáhne až později.

Anatsa: trojan, který předstírá aktualizaci

Anatsa funguje jako takzvaný dropper. Uživatel si stáhne funkční čtečku PDF nebo správce souborů, který projde kontrolou Google Play. Teprve po instalaci se aplikace spojí s řídicím serverem a stáhne další část programu, která může být vydávána za běžnou aktualizaci. Ta už obsahuje škodlivý kód. Malware se následně snaží získat oprávnění ke službám usnadnění přístupu, čtení SMS nebo zobrazování překryvných oken. Poté zjišťuje, které bankovní aplikace má uživatel v telefonu, a může zobrazovat falešné přihlašovací obrazovky nebo zaznamenávat stisky kláves.

Podle společnosti Zscaler ThreatLabz cílila Anatsa v analyzované konfiguraci na více než 831 finančních institucí po celém světě. Seznam zahrnoval také 150 nově přidaných bankovních a kryptoměnových aplikací. ThreatFabric ve své analýze kampaně zaměřené na Evropu výslovně uvádí také Česko. Konkrétní seznam českých bank, na které Anatsa cílila, však výzkumníci veřejně nezveřejnili.

Hrozba navíc nezmizela po prvním odhalení. Zscaler zaznamenal Anatsu v lednu 2026 ve falešném správci dokumentů s více než 50 000 staženími, v dubnu téhož roku v další čtečce dokumentů s 10 000 staženími a znovu v srpnu 2026 v aplikaci s přibližně tisícovkou stažení. Google tyto aplikace odstranil, útočníci však opakovaně přicházeli s novými variantami.

NoVoice: rootkit, který může přežít i tovární reset

Na přelomu března a dubna 2026 popsala laboratoř McAfee Labs kampaň označovanou jako NoVoice. Na rozdíl od Anatsy nejde o bankovní trojan, ale o rootkit – škodlivý software, který se snaží získat hlubokou kontrolu nad zařízením.

NoVoice se skrýval ve více než 50 aplikacích na Google Play, včetně čističů, her a fotografických nástrojů. Tyto aplikace dohromady zaznamenaly přes 2,3 milionu stažení. Po spuštění zjišťovaly informace o zařízení, stahovaly exploit přizpůsobený konkrétnímu hardwaru a verzi systému a pokoušely se získat oprávnění roota. Následně mohly upravovat systémové knihovny a umožnit škodlivému kódu zasahovat do fungování dalších aplikací v telefonu.

Jednou z nejzávažnějších vlastností NoVoice bylo, že na některých starších nebo neaktualizovaných zařízeních mohl přetrvat i po běžném továrním resetu. Důvodem byly zásahy do systémového softwaru. Úplné odstranění infekce tak mohlo vyžadovat nové nahrání firmwaru. McAfee zároveň uvádí, že zařízení s bezpečnostní záplatou z května 2021 nebo novější nebyla vůči použitým exploitům zranitelná.

České banky v hledáčku: co je veřejně doloženo

Přímé cílení na české bankovní aplikace zdokumentoval ve svých analýzách bezpečnostní tým společnosti ESET. Popsal kampaně, v nichž útočníci vytvářeli falešné verze aplikací George a George klíč (Česká spořitelna), ČSOB Smart a ČSOB Smart klíč i aplikace Raiffeisenbank. Škodlivé aplikace se šířily například prostřednictvím automatizovaných hlasových hovorů, SMS zpráv a podvodných reklam na Facebooku a Instagramu. Po kliknutí na odkaz se oběti otevřela falešná stránka napodobující Google Play nebo web dané banky.

U Anatsy je situace méně přehledná. Zscaler i ThreatFabric potvrzují, že Česko patří mezi cílové regiony. ThreatFabric navíc uvádí regionální filtrování, které zahrnuje kódy cz a sk. Veřejný seznam konkrétních českých bank, na které Anatsa cílila, však žádný z těchto výzkumných týmů nezveřejnil. To samo o sobě neznamená, že české banky v seznamu nebyly. Bez zveřejněných podkladů ale nelze jejich konkrétní cílení spolehlivě potvrdit.

Proč „je to z Google Play“ neznamená bezpečí

Google v roce 2025 zabránil zveřejnění více než 1,75 milionu problematických aplikací a služba Play Protect denně kontroluje přes 350 miliard aplikací. Ochranné mechanismy tedy existují, útočníci se je ale snaží obcházet.

Jednou z používaných metod je právě odložené stažení škodlivého kódu. Aplikace při zveřejnění neobsahuje nebezpečnou část programu, takže při prvotní kontrole nemusí vzbudit podezření. Škodlivý kód stáhne až později z externího serveru. Google ve svých pravidlech pro vývojáře výslovně zakazuje skryté škodlivé funkce i nepovolené dynamické načítání kódu. Právě na principu oddělení původní aplikace od později staženého škodlivého obsahu však podobné útoky stavějí.

Jak se chránit: konkrétní kroky

Nemá smysl plošně odinstalovávat všechny čtečky PDF nebo čističe telefonu. Opatrnost je namístě především u neznámých nástrojů s obecným názvem, nejasnou historií vývojáře a oprávněními, která neodpovídají jejich účelu. Doporučený postup:

• Zapněte a zkontrolujte Play Protect – v Google Play klepněte na svůj profil a ověřte, že je ochrana aktivní.
• Aktualizujte systém – nainstalujte nejnovější dostupné bezpečnostní záplaty Androidu i aktualizace systému Google Play.
• Projděte seznam aplikací – zaměřte se na čtečky PDF, správce souborů nebo čističe, které si nepamatujete nebo jejichž vývojáře neznáte.
• Zkontrolujte oprávnění – otevřete Nastavení > Aplikace > konkrétní aplikace > Oprávnění. Varovným signálem může být přístup ke službám usnadnění, čtení SMS nebo možnost zobrazovat překryvná okna, pokud je aplikace ke své funkci nepotřebuje.
• Podezřelé aplikace odinstalujte – následně sledujte, zda se znovu neobjevují nebo zda telefon nevykazuje další neobvyklé chování.

U starších telefonů bez aktuálních bezpečnostních záplat je riziko vyšší. Pokud používáte zařízení se záplatami staršími než z května 2021 a máte podezření na infekci, samotný tovární reset nemusí stačit. V takovém případě zvažte odbornou pomoc s přeinstalací firmwaru nebo výměnu zařízení.

Anatsa se zaměřuje na krádeže peněz a bankovních údajů, zatímco NoVoice se snaží získat kontrolu nad celým zařízením. Obě hrozby však využívají stejnou slabinu: uživatelé často automaticky důvěřují aplikacím z Google Play. Právě tato důvěra může být nejslabším článkem ochrany.