Банковский троян RedWing заразил более 10 тыс. Android-устройств в России
Компания F6, российский разработчик технологий для борьбы с киберугрозами, представила исследование банковского трояна RedWing, применяемого в атаках на российских пользователей. Вредоносное ПО распространяется с июля 2026 года под видом мобильных приложений и медиафайлов. Об этом SecPost сообщили в компании.
По оценке F6, за два месяца распространения RedWing в России — с середины июля по середину сентября — количество скомпрометированных Android-устройств превысило 10 тысяч.
Об обнаружении нового шпионского ПО летом 2026 года заявили исследователи американской компании Zimperium, а уже через несколько дней специалисты F6 зафиксировали первую кампанию по распространению RedWing, нацеленную на пользователей в России. Злоумышленники распространяли троян под видом мобильного приложения для оповещений о воздушных атаках RadarTrevog. Впоследствии аналитики F6 установили ещё один способ распространения — под видом видеофайлов.
Как отмечается в исследовании, RedWing — семейство вредоносного ПО для Android, предназначенное для перехвата управления над устройством, кражи чувствительных данных и использования устройства в других атаках. Функционал включает удалённое управление устройством, инжектирование фишинговых страниц, кейлоггер, просмотр экрана, камер и прослушивание микрофонов.
Специалисты департаментов противодействия мошенничеству (Fraud Protection) и киберразведки (Threat Intelligence) F6 исследовали несколько обнаруженных образцов RedWing. Как выяснили эксперты, злоумышленники распространяют несколько вариантов вредоносного приложения, предназначенных, вероятно, для разных целей. Первый вариант — троян удалённого доступа (RAT), нацеленный на удалённое управление устройством. Он представляет угрозу прежде всего для клиентов банков, так как позволяет незаметно совершать финансовые операции и выводить деньги со счёта. Такое ВПО часто маскируют под медиафайлы и распространяют через мессенджеры, выполняя рассылку по всем контактам взломанных аккаунтов. Второй вариант — стилер, основная задача которого — сбор информации с устройства.
Как указывается в сообщении, если не распознать RedWing на этапе установки, троян становится невидимым для пользователя и практически не удаляется с телефона. Образец, исследованный специалистами F6, распространяется как файл с названием «Видео с места аварии». При запуске файл демонстрирует экран, имитирующий страницу Google Play, и предлагает установить обновление. Во время установки пользователь видит ложное сообщение об обновлении, затем приложение предлагает включить службу «Специальные возможности» (Accessibility). После предоставления доступа происходит запуск трояна.
При разработке RedWing, как отмечается в исследовании, учтены особенности защиты Android-устройств. Сразу после запуска троян запускает поток с прокруткой постоянного беззвучного аудиотрека, что позволяет приложению продолжать работу в фоновом режиме. ВПО скрывает признаки своей активности, и пользователь не увидит RedWing в списке недавно открытых приложений. Также троян может перезапускать сам себя с помощью встроенного будильника, установленного на 3:15 утра.
Среди функциональных возможностей RedWing в исследовании перечислены: выдача себе любых разрешений; перехват PIN-кодов и текста на экране через оверлеи (фальшивые окна, которые накладываются на экран поверх легитимных сайтов или приложений); перехват графических ключей, паролей и PIN-кодов для разблокировки экрана с последующей удалённой разблокировкой смартфона; перехват СМС; перенаправление телефонных звонков; передача на сервер злоумышленников видео и фото с любой камеры; запись звука с микрофона или трансляция его в реальном времени; воспроизведение аудиофайлов с сервера злоумышленников; запуск чата с пользователем от имени «Технической поддержки»; использование смартфона для DDoS-атак или как прокси-сервер; удалённый запуск приложений, открытие сайтов через браузер и имитация нажатия физических кнопок; защита от удаления и обезвреживания.
В качестве рекомендаций для пользователей специалисты F6 советуют устанавливать приложения только из доверенных источников, не скачивать APK-файлы по ссылкам из мессенджеров, форумов, рекламных сообщений и непроверенных сайтов, отключить установку приложений из неизвестных источников, ограничить доступ приложений к данным и выдаваемым правам, не предоставлять приложениям доступ к службе Accessibility, проверять подозрительные файлы перед установкой с помощью онлайн-сервисов, не вводить коды подтверждений и PIN-коды в внезапно возникающие окна. Если подозрительный APK уже установлен, рекомендуется удалить приложение, проверить выданные разрешения и просканировать устройство антивирусом. При компрометации банковской карты — заблокировать её. О подозрительных сайтах можно сообщить на платформу «Антифишинг».
Читайте также
