Просмотр новости
Найдите то, что Вас интересует
Спутники
РН
SpaceX
Роскосмос
NASA
СпутникиРНSpaceXРоскосмосNASAКомпания F6, российский разработчик технологий для борьбы с киберугрозами, зафиксировала новый сценарий атак...
12 Августа 2026 09:14 12 Авг 2026 09:14 |
Компания F6, российский разработчик технологий для борьбы с киберугрозами, зафиксировала новый сценарий атак на пользователей Android-устройств в России. Под видом мобильного приложения RadarTrevog, которое маскируют под официальный сервис оперативного оповещения об атаках беспилотников и ракетной опасности, киберпреступники предлагают установить Android-троян RedWing. С его помощью злоумышленники могут шпионить за пользователями, похищать деньги с банковских счетов и угонять аккаунты в мессенджерах. Об этом CNews сообщили представители F6.
Уникальное предложение
Аналитики департамента защиты от цифровых рисков (Digital Risk Protection) компании F6 обнаружили новую схему заражения Android-устройств вредоносным ПО, направленную на российских пользователей.
Киберпреступники создают сайты, через которые под видом мобильного приложения для оповещений о воздушных атаках под названием RadarTrevog распространяют вредоносное ПО. Первый из найденных сайтов создан 20 июля 2026 г., второй – двумя неделями позже, 3 августа. В названии доменов сайтов, зарегистрированных в зоне .ru, используются сочетания слов «radar» и «trevog» / «trevoga».
Опасные сайты созданы по общему шаблону. Пользователю обещают оперативные предупреждения о воздушной опасности в конкретном районе даже «при слабой связи», громкий сигнал сирены в беззвучном режиме и возможность отслеживать несколько адресов одновременно – например, дом, работу, дачу и места проживания родственников.
В качестве источника данных об атаках указаны «официальные объявления» из региональных систем оповещения, сообщений территориальных управлений МЧС и региональных оперативных штабов.
В качестве одной из функций приложения злоумышленники упоминают даже «семейный режим», который якобы позволяет близким пользователя видеть его реакцию на сигнал тревоги, получая нужную информацию без звонков и переписки. Тем самым киберпреступники побуждают пользователей не только установить приложение самим, но и распространить его среди родственников, увеличивая таким образом количество зараженных устройств.
Дополнительно для повышения доверия к приложению мошенники используют фальшивые отзывы. Сообщения от якобы реальных пользователей снижают критическое восприятие: чужой положительный опыт часто выглядит убедительнее, чем обычное рекламное описание.
Специалисты F6 обращают внимание: в отсутствие официальных мобильных сервисов, которые предлагали бы подобные возможности оповещений, злоумышленники использовали эту идею в своих интересах. Но вовсе не для того, чтобы помочь пользователям в России защитить себя и своих родных, а ровно наоборот.
Ключи от всех секретов
Аналитики департамента киберразведки (Threat Intelligence) компании F6 установили: вредоносный APK-файл, распространяемый под видом мобильного приложения RadarTrevog, на самом деле – Android-троян RedWing. Это вредоносное ПО распространяют через Telegram по модели MaaS (Malware-as-a-service, вредоносная программа как услуга) как минимум с начала 2026 г.
Впервые об обнаружении нового шпионского ПО исследователи Zimperium сообщили в июле 2026 г. Специалисты отмечают, что троян создан русскоязычными злоумышленниками и предназначен преимущественно для атак на клиентов российских финансовых организаций.
Вредоносные функции RedWing позволяют злоумышленникам похищать данные с устройства (включая СМС, контакты, журналы вызовов и файлы, а также конфиденциальные данные банковских и криптовалютных сервисов), удаленно управлять смартфоном, контролируя происходящее на экране в режиме реального времени, скрывать опасное приложение от обнаружения и использовать устройство жертвы для участия в DDoS-атаках.
Для того, чтобы использовать все эти возможности на смартфоне пользователя, трояну нужно получить ряд разрешений. Вредоносное приложение RadarTrevog запрашивает их под предлогом корректной работы для своевременного оповещения об угрозах воздушных атак. Злоумышленники убеждают предоставить все доступы, которые запросит программа: «Если хотя бы одно из разрешений отключено, сигнал может прийти с задержкой или не прийти вовсе».
В рекламе опасного приложения приводится список разрешений, который на первый взгляд выглядят обоснованными для оповещений об атаках: доступ к геолокации, разрешение на уведомления и работу в фоновом режиме. На самом деле шпионское ПО требует больше разрешений.
Например, доступ к СМС – для того, чтобы читать входящие сообщения, включая коды от банков, госсервисов и других сторонних приложений. Доступ к уведомлениям – чтобы читать пуш-коды, сообщения от банков и уведомления мессенджеров. Еще одно разрешение позволяет вредоносному приложению показывать фальшивые окна поверх настоящих приложений – это требуется для кражи данных банковских и криптовалютных сервисов.
Ключевое разрешение – доступ к службам Android Accessibility («Специальные возможности»). Если пользователь дает согласие на это, троян получает возможность удаленно управлять устройством пользователя без его ведома.
Считайте риски
Специалисты F6 называют три главных риска, которые возникают у пользователей Android-устройств после установки мобильного приложения RadarTrevog.
Кража денег с банковских счетов. Функции трояна позволяют злоумышленникам определить, какие банковские приложения установлены на смартфоне, перехватывать СМС и уведомления с кодами подтверждения, данные с номером банковской карты и CVC-код, используя их для получения доступа к банковскому или платежному сервису, подтверждения переводов, привязки банковской карты и смены устройства.
Угон аккаунтов. Деньги – не единственное, что интересует злоумышленников. Доступ к СМС и уведомлениям позволяет получать коды подтверждений от госсервисов, мессенджеров, электронной почты, маркетплейсов, мобильных операторов и криптобирж. Используя эти возможности, киберпреступники могут получить доступ к учетным записям в мессенджерах и угонять их либо рассылать через них ссылки на вредоносные файлы, а также применять в других киберпреступных схемах.
Сбор информации о пользователе. Возможности вредоносного приложения позволяют киберпреступникам составить «цифровой портрет» пользователя, на телефоне которого установлена программа: выяснить, какая у него модель телефона, мобильный номер, оператор сотовой связи, какими приложения он пользуется и кто записан в его контактах, IP и примерная геолокация, активность пользователя. В зависимости от целей злоумышленников эту информацию могут использовать как для мошеннических атак на пользователя, так и для провокаций.
Знак тревоги
Аналитики F6 отмечают: новая атака киберпреступников нацелена на людей, которые находятся в состоянии повышенной тревожности и хотят получить дополнительные возможности обеспечить свою безопасность. Эмоциональный мотив может стать ключевым фактором, если пользователь решит установить предлагаемое мобильное приложение, не проверив его происхождение и запрашиваемые разрешения.
На момент исследования установить точный способ перенаправления пользователей на вредоносные ресурсы не удалось. При этом сами опасные сайты можно найти на первых страницах поисковой выдачи – для многих пользователей этот факт может создать ложное представление о легитимности киберпреступных ресурсов и вызывать доверие к ним. Другой вероятный вариант распространения ссылок на ресурсы с вредоносным ПО – через скомпрометированные аккаунты: злоумышленники могут рассылать персональные ссылки в мессенджерах, социальных сетях и по электронной почте. В таких случаях расчет злоумышленников строится на том, что пользователь поверит сообщению от знакомого контакта и не увидит в нем опасности.
По инициативе CERT F6 домен radar-trevog[.]ru, который использовались для распространения вредоносного ПО, заблокирован. Домен radar-trevoga[.]ru также уже недоступен для пользователей. Однако киберпреступники могут создать для распространения опасного приложения новые сайты.
Киберпреступники активно используют слова «радар» и «тревога» в атаках на российских пользователей. Так, в июне 2026 г. специалисты F6 зафиксировали новый сценарий мошеннических атак с «обратным звонком». Злоумышленники создали сеть фейковых сайтов под названием «Радар РФ – Система оповещения населения» и «Ваша тревога», через которые якобы распространяли уведомления об атаках беспилотников и информировали об адресах ближайших укрытий. А в декабре 2025 г. эксперты компании обнаружили схему мошенников, в которой под видом приложений-радаров постов ДПС и коэффициентов для такси злоумышленники распространяли вредоносное ПО и похищали с его помощью деньги с банковских счетов.
Рекомендации специалистов F6 по защите от киберпреступных атак с использованием вредоносных APK-файлов
Устанавливайте приложения только из официальных источников. Не скачивайте APK-файлы по ссылкам из мессенджеров, форумов, рекламных сообщений и недоверенных сайтов. Безопаснее использовать проверенные магазины приложений для Android-устройств, например, RuStore. Если приложение не из официального источника – лучше его не скачивать.
Не устанавливайте приложения по рекомендациям незнакомцев, по ссылкам из СМС, сообщений в мессенджерах, писем и подозрительных сайтов.
Отключите установку приложений из неизвестных источников. В настройках Android рекомендуем запретить установку APK для браузеров и файловых менеджеров. Это снижает риск случайной установки вредоносного приложения.
Ограничьте доступ приложений на вашем мобильном устройстве к данным и выдаваемые им права. Не предоставляйте приложениям чувствительных разрешений. Особенно если не понимаете, с какой целью приложение его запрашивает. Например, если приложение для заказа пиццы запрашивает доступ к СМС и службе Accesibility («Специальные возможности»), следует отказаться от его установки.
Проверяйте подозрительные файлы перед установкой. Используйте специальные онлайн-сервисы, которые позволяют проверить файлы, ссылки URL-адреса, домены на наличие вредоносного кода. Если в результатах проверки встречаются пометки вроде trojan, dropper, banker, spyware или названия известных вредоносных семейств, устанавливать такой файл нельзя.
Не вводите коды подтверждений, пароли, коды и другую секретную информацию в подозрительные окна. Вредоносные приложения могут показывать поддельные формы поверх настоящих банковских или государственных сервисов. Если приложение внезапно просит ввести пароль, данные банковской карты или код из СМС, лучше закрыть его и проверить устройство на наличие вредоносных приложений.
Если подозрительный APK уже установлен — действуйте быстро. Необходимо удалить приложение, проверить выданные ему разрешения и просканировать устройство антивирусом. Если приложению был предоставлен доступ к СМС, уведомлениям или специальным возможностям, стоит сменить пароли от важных аккаунтов, проверить банковские операции и при необходимости обратиться в банк.