Компания F6 представила исследование банковского трояна RedWing, который атакует российских пользователей Android с июля 2026 года через фейковые приложения и видеофайлы. За два месяца распространения количество скомпрометированных устройств превысило 10 тысяч, сообщили проекту Игнатий Цукергохер в пресс-службе F6.
Распространение
RedWing распространяется через Telegram по модели MaaS (Malware-as-a-Service) как минимум с начала 2026 года. Летом 2026 года о новом шпионском ПО сообщили исследователи компании Zimperium, а через несколько дней F6 зафиксировала первую кампанию в России — троян маскировали под приложение оповещений о воздушных атаках RadarTrevog. Позже был обнаружен второй способ распространения — под видом видеофайлов, например файла с названием «Видео с места аварии» (на деле — установочный APK).
Два варианта трояна
- RAT (троян удалённого доступа) — нацелен на клиентов банков, позволяет незаметно совершать финансовые операции и выводить деньги со счёта; часто распространяется через мессенджеры рассылкой по контактам взломанных аккаунтов (по аналогии с трояном Mamont).
- Стилер — собирает информацию с устройства.
Как происходит заражение
При открытии файла показывается экран, имитирующий Google Play, с предложением установить обновление («Update»). Во время установки трояна на экране демонстрируется ложное сообщение об обновлении. Затем приложение запрашивает доступ к службе «Специальные возможности» (Accessibility) — после его получения троян становится практически невидимым для пользователя.
Механизмы устойчивости
Для закрепления в системе вредоносное ПО:
- запускает фоновый поток с беззвучным аудиотреком, чтобы избежать завершения процесса системой;
- скрывает себя из списка недавних приложений;
- перезапускается через встроенный будильник в 3:15 утра;
- при попытке удаления, вызова меню выключения, открытия файлового менеджера или антивируса перебрасывает пользователя на домашний экран и показывает фальшивое окно обновления.
Функциональные возможности
В числе перечисленных возможностей трояна:
- выдаёт себе любые разрешения;
- перехватывает PIN-коды и текст на экране через оверлеи (фальшивые окна поверх легитимных приложений);
- перехватывает графические ключи и пароли для разблокировки, имитирует свайп для удалённой разблокировки устройства;
- перехватывает СМС;
- перенаправляет телефонные звонки (в том числе для перехвата OTP-кодов);
- передаёт фото и видео с любой камеры устройства;
- записывает звук с микрофона или транслирует его в реальном времени;
- воспроизводит аудиофайлы с сервера злоумышленников;
- запускает внутри приложения фальшивый чат от имени «Технической поддержки»;
- использует устройство для DDoS-атак или как прокси-сервер;
- удалённо запускает приложения, открывает сайты, имитирует нажатие физических кнопок;
- блокирует попытки удаления и обезвреживания.
Рекомендации для пользователей
ИБ-эксперты рекомендуют:
- устанавливать приложения только из доверенных источников (например, RuStore), не скачивать APK по ссылкам из мессенджеров, форумов и рекламы;
- не устанавливать приложения по рекомендациям незнакомцев и по ссылкам из СМС, писем, подозрительных сайтов;
- отключить установку приложений из неизвестных источников в настройках Android;
- не предоставлять приложениям чувствительные разрешения без явной необходимости;
- не давать приложениям доступ к службе Accessibility;
- проверять подозрительные файлы через онлайн-сервисы перед установкой;
- не вводить пароли, PIN-коды и коды подтверждения во внезапно возникающие окна;
- при обнаружении подозрительного APK — удалить приложение, проверить разрешения, просканировать устройство антивирусом, сменить пароли с другого устройства и проверить банковские операции;
- при компрометации карты — немедленно заблокировать её через горячую линию банка или банковское приложение;
- о подозрительных сайтах сообщать на платформу «Антифишинг».
Рекомендации для ИБ-подразделений
ИБ-командам специалисты F6 рекомендуют:
- учитывать данные геолокации пользователей;
- при отправке OTP-кодов по СМС реализовать проверку приложения, принимающего СМС на устройстве пользователя;
- внедрить дополнительные меры выявления сторонних вредоносных приложений;
- реализовать меры по выявлению приложений с доступом к службам Accessibility.
Банкам для защиты от подобных операций помогают антифрод-решения с анализом сессионных и поведенческих данных, а также технологии выявления подозрительной активности со стороны отправителя и получателя платежа.
