Троян под маской радара и VPN
Наш партнёр, компания F6, обнаружил новую кампанию по распространению Android-трояна ZloyRAT. Дропперы выдают себя за приложения, которые обещают водителям самое нужное: «ДПС радар. Топливо онлайн» показывает в реальном времени экипажи ДПС, камеры фиксации нарушений и наличие топлива на заправках, GosuVPN рекламируется как «бесплатный государственный VPN-сервис» с «безопасным доступом к свободному интернету», а «Радар БПЛА» — как онлайн-карта атак дронов в реальном времени. Распространяли их через сайт в зоне .online, созданный 4 октября 2026 года; после обращения CERT F6 доступ к ресурсу заблокировали в России. Рекламу приманок активно продвигали в водительских чатах, сообществах такси, доставки, каршеринга и грузоперевозок.
Все три приложения оказались дропперами одного вредоноса, который специалисты обнаружили ещё в первой половине 2026 года. После запуска ZloyRAT просит доступ к обработке SMS и ещё несколько разрешений, включая чтение контактов и управление телефонными звонками. В итоге операторы могут читать входящие сообщения и push-уведомления, выгружать список контактов, отправлять SMS и USSD-команды, звонить на заданные номера. Троян старается не бросаться в глаза: на экране открывается легитимный сайт, и нажатие на уведомление ведёт туда же, поэтому странное поведение приложения легко пропустить. Косвенным признаком заражения может быть заметное замедление работы смартфона.
Отдельно стоит сказать, за чем охотятся операторы: их интересуют данные из более чем 60 приложений российских банков и финансовых сервисов, а также маркетплейсов, госсервисов и Telegram. То есть приманка «для автомобилистов» — лишь вход, а цель лежит в финансовой и личной зоне пользователя.
Схема с «автомобильными» приманками развивается не первый месяц: осенью 2025 года находили малварь под видом радаров ДПС, летом 2026-го злоумышленники начали предлагать APK для проверки наличия бензина на заправках. Сейчас к этому добавились VPN и карта БПЛА — темы, которые вызывают доверие и требуют установки стороннего файла. Блокировка одного домена кампанию не останавливает: пока спрос на такие приложения высок, дропперы будут переезжать на новые адреса и менять вывески.