Компания F6, специализирующаяся на защите от киберугроз, зафиксировала новый сценарий распространения вредоносного программного обеспечения для мобильных устройств на базе Android. Злоумышленники создают приложения, маскируясь под полезные сервисы для автомобилистов, однако внутри них скрывается троян ZloyRAT, предназначенный для кражи конфиденциальных данных. Обнаружение угрозы было зафиксировано 26 октября 2026 года.
Основная приманка представляет собой приложение с названием «ДПС радар. Топливо онлайн». В описании заявляется, что программа позволяет в режиме реального времени отслеживать местоположение экипажей дорожной полиции, камеры фиксации нарушений правил дорожного движения, а также отображать наличие топлива на заправочных станциях. Реклама подобных приложений распространяется через чаты, каналы и сообщества водителей, включая профильные группы для таксистов, грузоперевозчиков, службы доставки и пользователей каршеринга. Ранее, осенью 2025 года, аналогичные приложения с функцией радара ДПС использовались для кражи денег, а летом 2026 года на фоне топливного кризиса появились вредоносные файлы под видом мониторинга бензина. Теперь злоумышленники объединили обе приманки в одном продукте.
Помимо основного приложения, на том же ресурсе, расположенном в доменной зоне .online и созданном 4 октября 2026 года, предлагались и другие утилиты. К ним относятся «GosuVPN», позиционируемый как бесплатный государственный сервис для доступа к свободному интернету, и «Радар БПЛА», который якобы предоставляет онлайн-карту для отслеживания атак беспилотников в реальном времени. Во всех трех случаях пользователи устанавливали дроппер — вредоносный компонент, который незаметно для владельца устройства устанавливает основную программу-троян.
Троян ZloyRAT был обнаружен специалистами F6 в первой половине 2026 года. Его главная задача заключается в сборе информации о пользователе и эксплуатации телефонных сервисов. Программа запрашивает у пользователя разрешение на обработку SMS-сообщений, чтение контактов, управление телефонными звонками и получение push-уведомлений. Получив эти права, злоумышленники могут читать входящие сообщения, отправлять SMS и USSD-команды без ведома владельца, а также совершать звонки на номера, указанные преступниками. Особенностью работы трояна является маскировка: при запуске он имитирует открытие легитимного веб-сайта, что позволяет пользователю не обратить внимания на странности в работе приложения.
Операторы вредоносного ПО проявляют особый интерес к данным, хранящимся в приложениях банков и финансовых сервисов. В списке целей ZloyRAT значатся более 60 российских банковских приложений, а также маркетплейсы, государственные сервисы и мессенджер Telegram. Кроме того, троян способен собирать данные из конкретных программ, установленных на смартфоне. После установки вредоносное ПО может приводить к замедлению работы устройства.
По обращению CERT F6 доступ к сайту, через который распространялись эти программы, был заблокирован на территории России. Эксперты компании рекомендуют пользователям не скачивать APK-файлы из неизвестных источников, особенно если они предлагаются в сообщениях мессенджеров или рекламе. Важным признаком заражения является запрос приложения на доступ к контактам, SMS и телефонным звонкам, если заявленная функция программы (например, отслеживание камер или поиск топлива) не требует таких прав. В случае обнаружения подозрительного приложения специалисты советуют удалить его, проверить выданные разрешения и просканировать смартфон антивирусом. Если троян уже получил доступ к сообщениям или уведомлениям, рекомендуется сменить пароли от важных аккаунтов с другого устройства и проверить банковские операции.