Красная угроза

В 2026 году среди вредоносных Android-приложений появился новый претендент на лидерство – RedWing. Это вредоносное ПО начали распространять через «Телеграм» по модели MaaS (Malware-as-a-service, вредоносная программа как услуга) как минимум с начала года.

Исследователи американской компании Zimperium сообщили об обнаружении нового шпионского ПО летом 2026 года, а уже через несколько дней специалисты компании F6 зафиксировали первую кампанию по распространению RedWing, нацеленную на пользователей в России. Злоумышленники распространяли новый троян под видом мобильного приложения для оповещений о воздушных атаках под названием RadarTrevog. Впоследствии аналитики F6 установили еще один способ распространения новой угрозы – под видом видеофайлов.

По оценке F6, за два месяца распространения RedWing в России (с середины июля по середину сентября) количество скомпрометированных Android-устройств превысило 10 тысяч.

RedWing – семейство вредоносного ПО для Android, предназначенного для полноценного перехвата управления над устройством пользователя, кражи чувствительных данных, использования устройства пользователя в других атаках. Функционал включает удаленное управление устройством, инжектирование (подстановку) фишинговых страниц, использование кейлоггера с широкими возможностями, просмотр экрана, камер и прослушивание микрофонов.

Специалисты департаментов противодействия мошенничеству (Fraud Protection) и киберразведки (Threat Intelligence) F6 исследовали несколько обнаруженных образцов RedWing, изучили функционал и возможности ВПО и выяснили, что злоумышленники распространяют несколько вариантов вредоносного приложения, которые, вероятно, предназначены для выполнения разных целей.

Первый вариант – троян удаленного доступа (RAT), нацеленный на удаленное управление скомпрометированным устройством. Он представляет угрозу прежде всего для клиентов банков, так как позволяет злоумышленникам незаметно для пользователя совершать финансовые операции и выводить деньги со счета. Такое ВПО часто маскируют под медиафайлы и распространяют через мессенджеры, выполняя рассылку по всем контактам взломанных аккаунтов, как троян Mamont. Второй — стилер, основная задача которого – сбор информации с устройства.

Специалисты департамента противодействия финансовому мошенничеству (Digital Risk Protection) компании F6 представили результаты исследования первой версии RedWing – банковского трояна.

Рекомендации специалистов F6 для пользователей:
устанавливайте приложения только из доверенных источников. Не скачивайте APK-файлы по ссылкам из мессенджеров, форумов, рекламных сообщений и непроверенных сайтов. Безопаснее использовать официальные магазины приложений для Android-устройств, например, RuStore. Если приложение не из официального источника, лучше его не скачивать;
не устанавливайте приложения по рекомендациям незнакомцев, по ссылкам из СМС, сообщений в мессенджерах, писем и подозрительных сайтов;
отключите установку приложений из неизвестных источников. В настройках Android рекомендуем запретить установку APK для браузеров и файловых менеджеров. Это снижает риск случайной установки вредоносного приложения;
ограничьте доступ приложений на вашем мобильном устройстве к данным и выдаваемые им права. Не предоставляйте приложениям чувствительных разрешений. Особенно если не понимаете, с какой целью приложение его запрашивает. Например, если информационное приложение просит дать ему разрешения для чтения контактов и отправки СМС, это сигнал тревоги;
не предоставляйте приложениям доступ к службе Accesibility («Специальные возможности»). Одно такое разрешение способно дать вредоносному приложению возможность предоставить самому себе любые другие разрешения;
проверяйте подозрительные файлы перед установкой. Используйте специальные онлайн-сервисы, которые позволяют проверить файлы, ссылки URL-адреса, домены на наличие вредоносного кода. Если в результатах проверки встречаются пометки вроде trojan, dropper, banker, spyware или названия известных вредоносных семейств, устанавливать такой файл нельзя;
не вводите коды подтверждений и PIN-коды, пароли и другую секретную информацию в окна, который возникают на экране устройства внезапно. Вредоносные приложения могут показывать поддельные формы поверх настоящих банковских или государственных сервисов. Если приложение внезапно просит ввести пароль, данные банковской карты или код из СМС, лучше закрыть его и проверить устройство на наличие вредоносных приложений;
если подозрительный APK уже установлен, действуйте быстро. Необходимо удалить приложение, проверить выданные ему разрешения и просканировать устройство антивирусом. Если приложению был предоставлен доступ к СМС, уведомлениям или специальным возможностям, стоит с помощью другого устройства сменить пароли от важных аккаунтов, проверить банковские операции и при необходимости обратиться в банк;
если вы понимаете, что ваша банковская карта скомпрометирована, сразу же заблокируйте ее, позвонив на горячую линию банка или с использованием банковского приложения;
если вы обнаружили подозрительный сайт, отправьте ссылку или сообщение на платформу «Антифишинг». Специалисты F6 проверят информацию и передадут ее регуляторам для блокировки.

Рекомендации специалистов F6 для подразделений информационной безопасности:
учитывать данные геолокации пользователей;
при использовании СМС для отправки OTP-кода реализовать механизмы проверки приложения, принимающего СМС на устройстве пользователя;
реализовать дополнительные меры защиты на устройстве пользователя по выявлению сторонних вредоносных приложений;
реализовать меры по выявлению приложений, имеющих доступ к службам Accessibility

Защититься от подобных операций банкам помогают антифрод-решения с анализом сессионных и поведенческих данных, а также технологии выявления подозрительной активности, способные анализировать как отправителя, так и получателя платежа.