С июля по середину сентября 2026 года в России предположительно заражены десятки тысяч Android-устройств. Причина - новая вредоносная программа RedWing, которая распространяется через Telegram по модели "вредоносное ПО как услуга". Схема работает как минимум с начала 2026 года и позволяет заказчику получить готовый инструмент для слежки, не разбираясь в программировании. Среди семейств вредоносного ПО для Android RedWing сейчас называют одним из главных претендентов на лидерство. Под удар попадают обычные пользователи, а вместе с ними клиенты банков и государственных сервисов, чьи данные хранятся на смартфоне.
Описание
Шпионское приложение обнаружили летом 2026 года. Первым прикрытием стал RadarTrevog - программа, выдававшая себя за сервис оповещений о воздушных атаках. Затем появился второй способ доставки: под видом видеофайлов, например записи с места аварии. Открывая такой файл, человек видит окно, копирующее страницу магазина Google Play. Оно сообщает о необходимости обновления и предлагает нажать кнопку подтверждения. После нажатия приложение собирает себя заново и устанавливается на устройство. Далее запрашивается доступ к службе специальных возможностей - набору функций Android для управления экраном без прямых касаний. Пользователь, который его выдал, фактически передаёт программе полный контроль над смартфоном.
Изучив несколько обнаруженных образцов, аналитики F6 установили, что злоумышленники распространяют как минимум два варианта приложения. Первый - программа удалённого доступа, нацеленная на управление чужим смартфоном. Второй - стилер, то есть инструмент для сбора информации. Исследование стилера готовится к публикации отдельно, а первая часть работы посвящена версии для удалённого управления. Именно она даёт оператору почти неограниченную власть: он читает вводимый текст, видит экран, включает камеру и микрофон.
Одна из ключевых возможностей - встроенный кейлоггер, модуль, фиксирующий всё, что человек печатает и копирует. Он запоминает текст из полей ввода, содержимое буфера обмена, нажатия кнопок, название приложения и время перехвата. Буфер вмещает до пяти тысяч записей, а собранные сведения уходят либо по запросу, либо сразу после перехвата. Отдельно отслеживаются коды подтверждения и PIN-коды: программа ищет на экране поля, связанные с вводом секретных данных, в том числе в банковских приложениях. Поверх настоящего интерфейса накладывается поддельное окно с просьбой ввести PIN-код. Введённые символы уходят на сервер злоумышленников.
Помимо окна с PIN-кодом, программа показывает поддельные экраны обновления и загрузки системы, а также чёрный экран, полностью блокирующий нажатия. Отдельный экран служит для произвольного сообщения от оператора с полем для ввода - под любым удобным предлогом. Пароль, графический ключ или PIN-код, которым защищён смартфон, тоже попадают в руки атакующих. Программа распознаёт экран блокировки, показывает его поддельную копию и сохраняет введённую комбинацию. Позже устройство разблокируется по команде с сервера, без участия владельца. Камера и микрофон работают по указанию оператора: можно сделать снимок с фронтальной камеры, записать звук или следить за происходящим в комнате в реальном времени. Такой снимок пригодится и для обхода проверки личности в сервисах. Экран транслируется двумя способами - потоковым видео и набором описаний элементов интерфейса, по которым картинку восстанавливают на стороне злоумышленника.
Удалить RedWing стандартными средствами почти невозможно. Программа блокирует открытие настроек, менеджера загрузок, файловых менеджеров и антивирусных приложений. При попытке выключить телефон она дважды имитирует нажатие кнопки возврата, поэтому меню выключения закрывается. В списке недавно открытых приложений её не видно. Ещё она продлевает себе жизнь беззвучным аудиотреком, который не даёт системе завершить её работу, и ставит будильник на 3:15 утра - на случай, если приложение всё же остановилось. Отозвать выданные разрешения тоже не получится: программа сама себе выдаёт всё нужное, включая доступ к сообщениям и уведомлениям. Похожий набор приёмов самозащиты применяла версия Android-трояна Falcon, которую аналитики F6 изучали в марте.
Заражённый смартфон используют и как орудие для других атак. Через встроенный прокси-сервер злоумышленник обращается к любым сайтам от имени владельца устройства, скрывая собственный адрес. Отдельный модуль запускает распределённые атаки на отказ в обслуживании, то есть перегружает чужие серверы множеством запросов с телефонов пользователей. Ещё одна функция - чат от имени технической поддержки. Всплывающее окно появляется прямо на экране и убеждает человека выдать дополнительные разрешения. Для такого приёма социальной инженерии не нужны сторонние мессенджеры.
Защита строится на нескольких правилах. Устанавливать приложения стоит только из официальных магазинов. Файлы и ссылки, присланные незнакомцами в мессенджерах, открывать не нужно, а установку из неизвестных источников лучше запретить в настройках. Доступ к специальным возможностям стоит выдавать лишь тем программам, чья работа без него невозможна. Подозрительное вложение перед установкой полезно проверить в онлайн-сервисах: пометки вроде "троян" или "шпион" означают, что файл запускать нельзя. Если приложение уже оказалось на устройстве, его нужно удалить, проверить выданные разрешения и сменить пароли к важным аккаунтам с другого телефона. Ссылки на подозрительные сайты можно отправить на платформу "Антифишинг", откуда их передадут регуляторам для блокировки. Модель "вредоносное ПО как услуга" упрощает работу преступников: готовый инструмент доступен заказчику без технических навыков. Десятки тысяч предположительно заражённых устройств в одной стране показывают, как быстро подобные схемы набирают обороты.
Индикаторы компрометации
