F6: Android-троян RedWing Stealer крадёт SMS, данные карт и сведения о приложениях

Эксперты компании F6 изучили вторую разновидность Android-трояна RedWing — RedWing Stealer. В отличие от RedWing RAT, предназначенного прежде всего для удалённого управления заражённым устройством, стилер ориентирован на сбор данных пользователя и передачу их операторам.

Вредоносную программу распространяют по модели MaaS — Malware-as-a-Service. Первую кампанию против пользователей в России аналитики F6 зафиксировали в июле 2026 года. Тогда троян рекламировали под видом приложения RadarTrevog, которое якобы предупреждало о воздушных атаках. Всего в период с мая по сентябрь специалисты обнаружили более 800 образцов RedWing Stealer.

Маскировка под полезные приложения и игровые моды

Злоумышленники распространяли стилер под видом радаров беспилотной опасности, карт автозаправок с данными о наличии топлива, просмотрщиков фотографий, сервисов с видео 18+, VPN-приложений и игровых модификаций. Среди названий игр, для которых предлагались читы и моды, были Minecraft, Roblox, Standoff 2, Brawl Stars, Oxide, Exile, Skyrim и PUBG. Часть таких файлов распространяли через тематические Telegram-каналы.

По данным F6 Threat Intelligence, RedWing Stealer рассчитан на пользователей сразу нескольких стран. В интересах операторов находятся клиенты банков и платёжных сервисов из России, Узбекистана и Казахстана, а также пользователи российских маркетплейсов и микрофинансовых организаций.

Троян способен перехватывать и читать SMS, отправлять сообщения и выполнять USSD-команды, собирать сведения об устройстве и его состоянии, а также получать список установленных приложений. В сообщениях он ищет названия банков, маркетплейсов и микрофинансовых организаций, открытые части номеров банковских карт и ссылки, связанные с финансовыми сервисами. Аналитики обнаружили в конфигурации перечни 16 российских, 12 узбекистанских и 7 казахстанских банков, 9 маркетплейсов и 8 микрофинансовых организаций.

Имитация Google Play и скрытая установка

В некоторых случаях RedWing Stealer распространялся через загрузчик. Его полезная нагрузка находилась внутри зашифрованных ассетов, а интерфейс имитировал Google Play. После запуска приложение показывало проверку безопасности и загрузку обновления, а затем предлагало нажать кнопку «Обновить». После этого пользователь попадал в настройки Android, где ему предлагали разрешить установку приложений из неизвестных источников.

Получив разрешение, загрузчик распаковывал и устанавливал основную нагрузку. Её значок не отображался на рабочем столе, а повторный запуск загрузчика перенаправлял пользователя уже в установленное приложение. Для маскировки вредоносная программа могла показывать имитацию работы легитимного сервиса, например сайта с радаром беспилотной опасности.

Приложение последовательно запрашивало доступ к SMS, работу в фоне и автозапуск. Запросы повторялись для каждой группы разрешений, пока пользователь не выдавал их. После этого появлялось окно для ввода PIN-кода, который отправлялся на сервер злоумышленников.

Связь с сервером и устойчивость в системе

Для управления RedWing Stealer использует Firebase Cloud Messaging и WebSocket-соединение с командным сервером. Через него операторы могут передавать команды, получать сведения об устройстве и контролировать состояние заражённого приложения. Соединение поддерживается сообщениями авторизации, heartbeat, ping и pong. Дополнительно троян синхронизируется с сервером примерно каждые семь секунд, получает команды и помещает их в очередь последовательного выполнения.

Сервис BackgroundMonitor старается сохраняться после перезапуска устройства. Для этого вредоносная программа использует виджеты, системный механизм синхронизации с интервалом в 30 минут и самостоятельно добавляет аккаунт в менеджер аккаунтов Android. Работа сервиса поддерживается циклическими задачами перезапуска, нескрываемым уведомлением и воспроизведением пустого аудиопотока, который должен помешать системе завершить процесс.

Основная логика скрыта в нативной библиотеке и самописной виртуальной машине. Конфигурация шифруется ChaCha20, а зашифрованные данные прячутся в младших битах пикселей изображения. Встроенная виртуальная машина содержит 35 инструкций и исполняет байткод, который управляет сбором данных, формированием запросов и обработкой команд.

Проверка окружения и сбор данных

Перед началом работы стилер проверяет, не запущен ли он под отладчиком или в эмуляторе. Он ищет библиотеки инструментов анализа, проверяет TCP-порт 27042, характерный для некоторых средств отладки, и выполняет дополнительные проверки окружения. При обнаружении отладки виртуальная машина прекращает работу.

После успешной проверки RedWing Stealer отправляет на сервер сведения об устройстве и выданных разрешениях, а затем обрабатывает архив SMS. В сообщениях он ищет названия интересующих сервисов, последовательности из четырёх цифр рядом с обозначениями карт и ссылки на заданные домены. В конфигурации также предусмотрен сбор уведомлений от приложений: системные пакеты отсеиваются, а сообщения от SMS-приложений и других программ отправляются операторам.

Полученные через WebSocket или периодическую синхронизацию команды добавляются в общую очередь. В ней могут находиться операции с SMS, уведомлениями, регистрацией устройства, отправкой heartbeat и выполнением команд, переданных сервером. Обработка событий проходит последовательно, примерно раз в секунду, что позволяет операторам получать данные и поддерживать контроль над заражённым устройством.