Российские специалисты по кибербезопасности F6 обнаружили схему атаки на пользователей Android, в которой вредоносное ПО маскируют под приложение RadarTrevog для оповещений о воздушной и ракетной опасности. APK-файл содержит троян RedWing, который умеет красть данные и получать удалённый доступ к смартфону.
Для распространения подделки злоумышленники запустили сайты в зоне.ru, стилизованные под сервис экстренных уведомлений. На них обещают предупреждения об угрозах даже при слабом соединении, громкий сигнал и возможность следить сразу за несколькими адресами.
На страницах размещают фальшивые отзывы и советуют установить приложение родственникам. После установки программа просит расширенные разрешения, в том числе доступ к SMS, уведомлениям и службе специальных возможностей Android. Это нужно трояну, чтобы перехватывать коды подтверждения, читать сообщения, следить за активностью и управлять устройством.
По данным F6, RedWing может использоваться для кражи банковских данных, перехвата аккаунтов в мессенджерах и других сервисов, а также для сбора сведений об устройстве и его владельце. Один из найденных доменов уже заблокирован, но эксперты допускают появление новых сайтов с той же схемой.