Google Playssa yli 10 000 asennusta kerännyt PDF-lukija on levittänyt Android-puhelimiin Anatsa-pankkitroijalaista, kertoo tietoturvayhtiö Zscalerin ThreatLabz.
Jos sovelluksen pakettitunnus com.railforge.footplate.documentreader_pdfviewer löytyy puhelimesta, se kannattaa poistaa heti ja laite tarkistaa haittaohjelmien varalta.
Sovellus ei sisältänyt varsinaista pankkitroijalaista suoraan, vaan toimi asentajana. Tutkijoiden mukaan se haki Anatsan erilliseltä palvelimelta sen jälkeen, kun käyttäjä oli asentanut PDF-lukijan.
Yli 10 000 asennuksen luku kertoo sovelluksen levikistä Google Playssa. Se ei tarkoita, että Anatsa olisi päätynyt yhtä moneen puhelimeen, eikä Zscaler ole kertonut, kuinka monelle laitteelle haittaohjelma lopulta asentui.
Troijalainen voi kalastella pankkitunnuksia
Anatsa on Android-laitteisiin kohdistuva pankkihaittaohjelma, jota on tavattu jo vuodesta 2020 lähtien. Aiemmin analysoiduissa versioissa haittaohjelma on tarkistanut, mitä pankki- ja rahoitussovelluksia puhelimeen on asennettu.
Troijalainen on voinut näyttää oikean pankkisovelluksen päälle väärennetyn kirjautumisnäkymän. Käyttäjä on tällöin voinut syöttää tunnuksensa hyökkääjille tietämättään.
Aiemmat Anatsa-versiot ovat hyödyntäneet myös näppäinpainallusten tallentamista sekä Androidin esteettömyyspalveluja. Niiden avulla haittaohjelma on voinut hankkia laajoja käyttöoikeuksia, lukea ruudulla näkyviä tietoja ja päästä käsiksi esimerkiksi tekstiviesteihin.
Zscaler kertoi elokuussa 2025 löytäneensä Anatsan asetuksista 831 rahoitussovelluksen listan, joita haittaohjelma seurasi näppäinpainallusten kaappaamista varten.
Tutkijat eivät ole toistaiseksi kertoneet, mihin maihin tai pankkeihin nyt havaittu kampanja erityisesti kohdistui.
Pelkkä PDF-lukijan poistaminen ei välttämättä riitä
Jos kyseinen PDF-lukija on ollut puhelimessa, sovellus kannattaa poistaa ja laite tarkistaa Google Play Protectilla. Samalla on syytä käydä läpi asennetut sovellukset ja tarkistaa, näkyykö joukossa ohjelmia, joita käyttäjä ei itse tunnista asentaneensa.
Pelkkä alkuperäisen PDF-lukijan poistaminen ei välttämättä poista Anatsaa, jos troijalainen on jo ehtinyt asentua laitteeseen erillisenä sovelluksena.
Androidin asetuksista kannattaa tarkistaa myös, mille sovelluksille on annettu pääsy esteettömyyspalveluihin, tekstiviesteihin tai oikeus näyttää sisältöä muiden sovellusten päällä. Tällaiset oikeudet ovat tavalliselle PDF-lukijalle poikkeuksellisen laajoja.
Jos sovellus on ollut asennettuna samaan aikaan mobiilipankin käytön kanssa, pankkitilin tapahtumat ja pankin ilmoitukset on syytä tarkistaa. Epäilyttävistä tapahtumista kannattaa olla yhteydessä pankkiin ja vaihtaa tunnukset turvallisella laitteella.
Anatsa on päässyt Google Playhin vastaavalla tavalla aiemminkin. Kesällä 2026 toinen dokumentinlukijaksi naamioitu sovellus keräsi lähteen mukaan yli 100 000 latausta ennen kuin haitallinen toiminta paljastui.