С лета 2026 года Android-троян RedWing активно распространяется среди российских пользователей. Вредонос маскируется под легитимные приложения и видеофайлы. После запуска он позволяет операторам полностью контролировать смартфон жертвы. За период с июля по середину сентября количество скомпрометированных устройств превысило 10 000.
RedWing появился не позднее начала 2026 года и распространяется через Telegram по модели MaaS (малварь-как-услуга). Первую российскую кампанию заметили летом: вредонос выдавали за приложение RadarTrevog для оповещения о воздушных атаках. Позже обнаружили второй вариант — троян маскировался под видеофайлы с названиями типа «Видео с места аварии».
При запуске вредонос показывает фейковую страницу Google Play и предлагает установить «обновление». На самом деле из встроенных компонентов собирается APK с RedWing. Затем малварь убеждает пользователя включить службы специальных возможностей Android, что даёт ему доступ для дальнейшего захвата устройства.
Исследователи обнаружили как минимум два варианта RedWing: RAT для удаленного управления и стилер для кражи информации.
RAT-версия содержит кейлоггер и перехватывает PIN-коды, пароли, графические ключи, данные из буфера обмена. Может накладывать фишинговые оверлеи поверх банковских приложений. Получив код разблокировки, оператор может позже разбудить устройство, открыть форму ввода пароля и автоматически разблокировать смартфон.
Троян также транслирует экран, делает снимки, передаёт видео с камер, записывает звук с микрофона, перехватывает SMS, инициирует звонки и включает переадресацию.
Зараженный смартфон можно превратить в прокси-сервер. Встроенный DDoS-движок поддерживает атаки в режимах HTTP-flood, POST-flood и Slowloris.
RedWing имеет развитые механизмы самозащиты. Получив права на специальные возможности, троян может самостоятельно выдавать себе дополнительные разрешения и пытаться отключить Google Play Protect. Вредонос препятствует доступу к настройкам, файловым менеджерам и антивирусам, блокирует удаление приложения и может закрывать меню выключения устройства.
Для закрепления на устройстве RedWing использует и другие приемы. Постоянно проигрывает беззвучный аудиотрек, чтобы Android не завершал приложение в фоновом режиме, скрывается из списка недавних программ и может планировать собственный перезапуск на 3:15 утра.
