Поддельные приложения для водителей служат дропперами ZloyRAT
Злоумышленники распространяют троян для Android ZloyRAT через приложения, замаскированные под инструменты для автомобилистов. Главная приманка, Радар ГИБДД. Топливо онлайн, обещает показывать расположение экипажей ДПС и камер фотофиксации, а также наличие топлива на АЗС. В той же инфраструктуре продвигают Радар БПЛА и GosuVPN, представленный как бесплатный государственный VPN. Приложения распространяют в чатах, каналах и сообществах водителей, в том числе грузоперевозчиков, таксистов, курьеров и пользователей каршеринга.
Эти приложения работают как дропперы ZloyRAT, трояна для Android, выявленного в 2026 году. После установки он запрашивает доступ к SMS-сообщениям и дополнительные разрешения, связанные с контактами и телефонными звонками. Вредоносное ПО может собирать контакты, входящие SMS-сообщения и push-уведомления, отправлять SMS-сообщения и USSD-команды без ведома пользователя, а также звонить на номера, контролируемые злоумышленниками. ZloyRAT нацелен на данные, связанные более чем с 60 приложениями, включая российские банковские и финансовые сервисы, маркетплейсы, государственные платформы и Telegram.
ZloyRAT маскируется под полезное приложение и может показывать на устройстве сайт, который выглядит легитимно. При нажатии на уведомление-приманку жертва попадает на эту страницу. Такой переход потенциально маскирует работу вредоносного ПО. На заражённых устройствах также может снижаться производительность.
Для распространения вредоносных APK используют сайт в доменной зоне .online. По имеющимся данным, его создали 4 октября 2026 года; на сайте размещены страницы нескольких приложений для Android. Кампания продолжает использовать темы, встречавшиеся и ранее: traffic-radar, drone-alert, fuel-map, VPN, модификации игр и другие.
Среди связанных кампаний были RedWing Stealer, замаскированный под приложения для радаров и проверки наличия топлива, а также фишинговые сайты. Они использовали нехватку топлива и брендинг АЗС для кражи учётных данных или перехвата аккаунтов в Telegram.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
