Троян RedWing маскируют под приложение оповещений об опасности

Компания F6 выявила новую схему заражения Android-устройств в России. Под видом приложения RadarTrevog, которое мошенники выдают за сервис оповещения о ракетной опасности и атаках беспилотников, распространяется троян RedWing. Он позволяет красть деньги с банковских счетов, угонять аккаунты и следить за действиями владельца смартфона. Первый фишинговый сайт был создан 20 июля, второй – 3 августа, оба зарегистрированы в зоне .ru. Об этом IT Speaker рассказали в пресс-службе.

Мошенники обещают оперативные предупреждения даже при слабом сигнале, работу сирены в беззвучном режиме и отслеживание нескольких адресов. Для вызова доверия они используют фальшивые отзывы и упоминают «семейный режим», побуждая жертв распространять приложение среди родных. В отсутствие официальных сервисов с подобным функционалом злоумышленники эксплуатируют эту потребность.

Троян RedWing, распространяемый через Telegram по модели Malware-as-a-Service, крадет СМС, контакты, данные банковских и криптосервисов, удаленно управляет устройством и использует его для DDoS-атак. Чтобы получить доступ, он под предлогом работы оповещений запрашивает разрешения на геолокацию, уведомления, СМС и службы Android Accessibility – последнее дает злоумышленникам полный контроль.

Основные риски: хищение денег через перехват СМС и данных карт, угон аккаунтов в госсервисах и мессенджерах, сбор персональных данных для мошеннических атак. Атака рассчитана на людей в состоянии тревожности. По инициативе специалистов F6 домены radar-trevog.ru и radar-trevoga.ru заблокированы, но мошенники могут создать новые. Ранее, в июне 2026 года, фиксировались аналогичные схемы с фейковыми сайтами «Радар РФ» и «Ваша тревога».

Ранее специалисты BI.ZONE Threat Intelligence в ходе мониторинга с июня по июль 2026 года зафиксировали новую активность кластера Core Werewolf, направленную против российских организаций. В рамках расследования эксперты обнаружили ранее неизвестный троян удаленного доступа CoreRAT, который злоумышленники применяли в своих атаках начиная с марта того же года.