Мошенники начали маскировать троян под приложение оповещения об атаках беспилотников

Киберпреступники начали распространять Android-троян RedWing под видом мобильного приложения для оповещения о воздушных атаках RadarTrevog. Вредонос позволяет злоумышленникам шпионить за пользователями, похищать деньги с банковских счетов и угонять аккаунты в мессенджерах, предупредили эксперты компании F6.

Мошенники создали два сайта в зоне .ru (radar-trevog и radar-trevoga), где под видом официального сервиса оповещений предлагают скачать APK-файл. Для убедительности злоумышленники обещают громкий сигнал сирены даже в беззвучном режиме, отслеживание нескольких адресов одновременно и семейный режим для оповещения родственников. На сайтах также размещены фальшивые отзывы якобы реальных пользователей. При этом в качестве источника данных об атаках указаны официальные сообщения МЧС и региональных оперштабов.

«Аналитики F6 обращают внимание: в отсутствие официальных мобильных сервисов, которые предлагали бы подобные возможности оповещений, злоумышленники использовали эту идею в своих интересах. Но вовсе не для того, чтобы помочь пользователям в России защитить себя и своих родных, а ровно наоборот», — отмечают в компании.

Вредонос RedWing запрашивает у пользователя обширные разрешения под предлогом корректной работы оповещений. Среди них — доступ к СМС (для чтения кодов от банков и госсервисов), к уведомлениям (для перехвата пуш-кодов), а также возможность показывать фальшивые окна поверх настоящих приложений. Ключевое разрешение — доступ к службе Android Accessibility («Специальные возможности») — позволяет трояну удаленно управлять устройством без ведома владельца.

Специалисты F6 выделяют три главных риска для пользователей. Во-первых, кража денег с банковских счетов: троян определяет установленные банковские приложения, перехватывает СМС и уведомления с кодами подтверждения, а также данные банковских карт. Во-вторых, угон аккаунтов в госсервисах, мессенджерах, на маркетплейсах и криптобиржах через перехват кодов подтверждения. В-третьих, сбор информации о пользователе для составления цифрового портрета и дальнейших мошеннических атак.

Новая атака нацелена на людей в состоянии повышенной тревожности, которые хотят обеспечить свою безопасность и могут не проверить происхождение приложения и запрашиваемые разрешения. По инициативе CERT F6 оба опасных домена заблокированы, однако злоумышленники могут создать новые. Эксперты рекомендуют устанавливать приложения только из официальных магазинов (например, RuStore), отключить установку из неизвестных источников, ограничивать доступ приложений к чувствительным данным и проверять подозрительные файлы через онлайн-сервисы.

Источник: Banki.ru