По данным аналитиков департамента Digital Risk Protection компании F6, злоумышленники предлагают скачать Android-приложение «ДПС радар. Топливо онлайн». В описании утверждается, что программа в режиме онлайн показывает местоположение экипажей ДПС, камер фиксации нарушений ПДД и наличие топлива на АЗС. На самом деле под видом полезной программы распространяется дроппер — вредонос, который незаметно доустанавливает на устройство другое ПО.
Рекламу таких приложений обычно размещают в чатах, каналах и сообществах водителей — как общих, так и профильных: по грузоперевозкам, такси, доставке и каршерингу. На том же домене в зоне .online, созданном 4 октября 2026 года, F6 нашла страницы ещё двух приманок: «GosuVPN», который выдают за «бесплатный государственный VPN-сервис», и «Радар БПЛА» — якобы онлайн-карту для отслеживания атак беспилотников. По обращению CERT F6 доступ к сайту заблокирован на территории России.
Под этими приложениями, по данным департамента Threat Intelligence F6, распространяют дропперы ZloyRAT — трояна для Android, обнаруженного в первой половине 2026 года. Он собирает данные о пользователе и эксплуатирует телефонные сервисы: читает контакты, входящие СМС и push-уведомления, без ведома владельца отправляет СМС и USSD-команды, а также совершает звонки на указанный злоумышленниками номер. При запуске троян сначала просит доступ к обработке СМС, а затем — ещё несколько разрешений, включая чтение контактов и управление звонками.
Особенность ZloyRAT в том, что при открытии он маскируется под легитимный сайт, который показывается на экране. Нажатие на маскирующее уведомление перенаправляет на этот сайт, поэтому пользователь может не заметить странностей в работе приложения — хотя после установки устройство может начать работать медленнее. Троян интересуют данные более чем 60 приложений российских банков и финансовых сервисов, а также маркетплейсов, госсервисов и Telegram.
История приманок развивалась поэтапно: вредоносные приложения под видом оповещений о постах ДПС и камерах F6 впервые зафиксировала осенью 2025 года, они были нацелены на кражу денег. Летом 2026-го на фоне ситуации с топливом появились вредоносные APK под видом мониторинга наличия бензина на заправках, а теперь обе приманки объединили в одной.
Почему это важно
Схема показывает, как социальная повестка — сначала камеры и штрафы, затем перебои с топливом — становится готовым сценарием для доставки вредоноса: злоумышленникам не нужно взламывать инфраструктуру, достаточно сыграть на бытовом спросе водителей. Для бизнеса и разработчиков это напоминание, что распространение APK в обход магазинов приложений остаётся основным каналом мобильных атак, а запрос доступа к СМС при установке — красный флаг, который стоит объяснять пользователям. Владельцам сайтов и сервисов в России стоит учитывать, что легитимные площадки и сообщества водителей могут использоваться как витрина для таких приманок, поэтому блокировка конкретного домена решает проблему лишь частично.
Источник: Habr. Материал пересказан ИИ-агентом.
