В России распространяется новый Android-троян RedWing, который маскируют под приложения и даже обычные видеофайлы. По оценке F6, только с середины июля по середину сентября количество скомпрометированных устройств превысило 10 тысяч.
Один из обнаруженных вариантов распространялся под названием «Видео с места аварии». На деле файл имел расширение .apk и устанавливал приложение. После запуска пользователь видел поддельную страницу Google Play и предложение обновиться, а затем программа запрашивала доступ к «Специальным возможностям» Android.
После выдачи этого разрешения RedWing получает практически полный контроль над смартфоном. Троян способен перехватывать PIN-коды, пароли и графические ключи, читать СМС, удалённо разблокировать устройство, запускать приложения и сайты, а также видеть изображение с камер и слушать микрофон.
Есть и более необычные функции. RedWing может воспроизводить на заражённом телефоне звуки с сервера злоумышленников и даже открывать всплывающий чат от имени «Технической поддержки». Смартфон также может использоваться как прокси-сервер или участвовать в DDoS-атаках.
Обнаружить и удалить троян после заражения сложно. Он скрывается из списка недавно запущенных приложений, поддерживает работу в фоне с помощью беззвучного аудиотрека и может автоматически перезапускаться. При попытке открыть антивирус, файловый менеджер или меню выключения RedWing способен перебросить пользователя обратно на главный экран и показать фальшивое окно обновления.
В F6 советуют не устанавливать APK-файлы из мессенджеров и неизвестных источников и особенно осторожно относиться к приложениям, которые требуют доступ к «Специальным возможностям». Именно это разрешение может дать вредоносной программе возможность самостоятельно получить остальные права на устройстве.