Троян ZloyRAT маскируется под государственный VPN и радар для БПЛА
Специалисты обнаружили новую кампанию по распространению Android-трояна ZloyRAT. Вредоносные программы выдают себя за бесплатный государственный VPN, радар для отслеживания БПЛА и приложение для автомобилистов. Важно понимать риски, чтобы не потерять данные и деньги.
Что случилось
Исследователи компании F6 обнаружили новую волну распространения Android-трояна ZloyRAT. Злоумышленники создали несколько приложений-приманок, которые выглядят как полезные утилиты. Среди них — «бесплатный государственный VPN-сервис» GosuVPN, приложение «Радар БПЛА» для отслеживания беспилотников и программа «ДПС радар. Топливо онлайн» для водителей. Все они на самом деле являются дропперами — загрузчиками вредоносного кода.
Рекламу этих приложений активно распространяют в водительских чатах, каналах такси, доставки, каршеринга и грузоперевозок. Сайт с приложениями находился в доменной зоне .online и был создан 4 октября 2026 года. После обращения экспертов CERT F6 доступ к ресурсу заблокировали на территории России. Однако злоумышленники могут создать новые домены и продолжить кампанию.
После установки и запуска троян запрашивает разрешения на обработку SMS, чтение контактов и управление звонками. Получив доступ, операторы малвари могут читать входящие сообщения и push-уведомления, получать список контактов, отправлять SMS и USSD-команды, а также совершать звонки на заданные номера. При этом вредоносная программа маскируется под легитимный сайт, чтобы пользователь не заметил подозрительной активности. Исследователи отмечают, что одним из косвенных признаков заражения может быть заметное замедление работы устройства.
Кому это важно
В первую очередь рискуют пользователи Android, которые устанавливают приложения из непроверенных источников. Злоумышленники давят на актуальные потребности: доступ к информации, безопасность в сети, экономия на топливе и знание о камерах и патрулях. Поэтому в группе риска — автомобилисты, таксисты, курьеры, водители каршеринга и грузоперевозчики, а также все, кто ищет бесплатные VPN-сервисы.
- Водители, которые пользуются приложениями для отслеживания камер, ДПС и наличия топлива на заправках.
- Пользователи, устанавливающие бесплатные VPN-приложения вне официальных магазинов.
- Люди, интересующиеся картами воздушной обстановки и радарами БПЛА.
- Все, кто переходит по рекламным ссылкам в тематических чатах и каналах.
Особенно внимательными стоит быть тем, у кого к смартфону подключены банковские приложения, госсервисы или мессенджеры. По данным исследователей, операторов ZloyRAT интересуют данные из более чем 60 приложений российских банков и финансовых сервисов, а также маркетплейсов, госуслуг и Telegram.
Верните доступ к нужным сервисам Без лимита устройств на любом тарифе. 3 дня за 10 ₽ — или сразу месяц от 200 ₽. Тарифы от 200 ₽/мес · оплата через банк · доступ сразу после оплатыЧто проверить у своего VPN
Если вы пользуетесь VPN-сервисом на Android, стоит убедиться, что приложение загружено из официального магазина, а не со стороннего сайта. Бесплатные VPN от неизвестных разработчиков — частый способ доставки вредоносного кода. Проверьте, какие разрешения запрашивает приложение: VPN-клиенту для работы достаточно доступа к сети, но он не должен требовать чтения SMS, контактов или управления звонками.
- Установлено ли приложение из Google Play или с официального сайта проверенного разработчика?
- Запрашивает ли VPN-приложение доступ к SMS, контактам или звонкам? Если да — это подозрительно.
- Совпадает ли название и разработчик в магазине приложений с тем, что заявлено на сайте?
- Нет ли на устройстве неизвестных приложений, которые вы не устанавливали?
- Не появилось ли в последнее время необъяснимого замедления работы смартфона?
Также проверьте, не приходят ли вам SMS с кодами подтверждения, которые вы не запрашивали. Если есть подозрения на заражение, смените пароли к важным сервисам и обратитесь в поддержку банка.
Как распознать подделку
Злоумышленники часто используют домены в необычных зонах, например .online, и создают сайты недавно. Если сайт с приложением выглядит свежим, не имеет истории и предлагает «уникальные» функции вроде государственного VPN или радара БПЛА, это повод насторожиться. Официальные государственные сервисы не распространяются через случайные сайты и не рекламируются в чатах таксистов.
Обращайте внимание на оформление: обилие обещаний, кричащие заголовки, отсутствие контактов и юридической информации. Мошенники часто давят на срочность: «успей скачать», «только сегодня бесплатно». Настоящие разработчики не торопят пользователей и публикуют приложения в проверенных каталогах.
Ещё один признак — запрос избыточных разрешений. Приложение для радара БПЛА или топлива не нуждается в доступе к SMS и контактам. Если программа просит такие права, лучше удалить её и поискать альтернативу из официального магазина.
Что делать, если приложение уже установлено
Если вы подозреваете, что установили одно из перечисленных приложений, действуйте быстро. Сначала удалите подозрительную программу. Затем проверьте устройство антивирусом, например встроенным Google Play Protect или другим проверенным решением. После этого смените пароли к банковским приложениям, госсервисам и мессенджерам, а также включите двухфакторную аутентификацию, где это возможно.
Проверьте историю SMS и звонков на предмет подозрительных сообщений или вызовов на незнакомые номера. Если вы заметили списания со счёта, немедленно свяжитесь с банком и заблокируйте карту. Также стоит предупредить контакты, что от вашего имени могли рассылаться сообщения.
В некоторых случаях может потребоваться полная переустановка системы. Если вы не уверены в своих силах, обратитесь в сервисный центр. Не пытайтесь удалить троян вручную через файловый менеджер — это может не сработать.
Почему такие приманки работают
Злоумышленники используют актуальные темы: беспилотники, безопасность в сети, экономия топлива и контроль дорожной обстановки. Люди ищут быстрые решения и часто устанавливают приложения по совету из чата, не проверяя источник. Эмоции и срочность снижают бдительность.
Кроме того, бесплатные VPN и радары кажутся безобидными, поэтому пользователи не задумываются о разрешениях. А троян, получив доступ к SMS, может перехватывать коды подтверждения и опустошать счета. Именно поэтому важно устанавливать приложения только из официальных магазинов и проверять, какие права они запрашивают.
Специалисты отмечают, что схема с «автомобильными» приманками развивается не первый месяц: ранее находили малварь под видом радаров ДПС и приложений для проверки наличия бензина. Это значит, что кампания может продолжаться с новыми сюжетами.
Как защитить смартфон в повседневности
Базовые правила цифровой гигиены снижают риск заражения. Устанавливайте приложения только из Google Play или с официальных сайтов разработчиков. Не переходите по ссылкам из подозрительных сообщений и не скачивайте APK-файлы, если не уверены в источнике. Регулярно обновляйте систему и приложения — обновления закрывают уязвимости.
Проверяйте разрешения: если простому приложению нужен доступ к SMS, контактам или звонкам, это красный флаг. Отключите установку из неизвестных источников в настройках безопасности. Включите Google Play Protect — он предупреждает о потенциально опасных программах.
Делайте резервные копии важных данных. Если телефон начнёт вести себя странно — сам открывать сайты, быстро разряжаться, тормозить — проверьте его антивирусом. И не используйте один и тот же пароль для банка и форумов.
Верните доступ к нужным сервисам Без лимита устройств на любом тарифе. 3 дня за 10 ₽ — или сразу месяц от 200 ₽. Тарифы от 200 ₽/мес · оплата через банк · доступ сразу после оплатыЧто известно о самом трояне
ZloyRAT обнаружили в первой половине 2026 года. Это Android-троян, который после запуска запрашивает разрешения и маскируется под легитимный сайт. Он может читать SMS и push-уведомления, получать контакты, отправлять сообщения и USSD-команды, а также звонить на заданные номера. Операторов интересуют данные из более чем 60 приложений российских банков, финансовых сервисов, маркетплейсов, госуслуг и Telegram.
Троян стремится не привлекать внимания: после запуска он открывает на экране сайт, который выглядит как обычная страница. Нажатие на уведомление также перенаправляет на этот ресурс. Поэтому пользователь может не заметить вредоносной активности. Косвенным признаком заражения может быть замедление работы устройства.
На данный момент известно, что доступ к одному из распространяющих сайтов заблокирован на территории России. Однако злоумышленники могут использовать другие домены и приманки. Специалисты рекомендуют сохранять бдительность и не устанавливать приложения из непроверенных источников.
Коротко
Android-троян ZloyRAT распространяется под видом бесплатного государственного VPN, радара для БПЛА и приложения для водителей. После установки он получает доступ к SMS, контактам и звонкам, что позволяет перехватывать коды подтверждения и воровать данные банковских приложений. Основные меры защиты: устанавливать приложения только из официальных магазинов, проверять разрешения и не скачивать APK по ссылкам из чатов. Если вы уже установили подозрительное приложение, удалите его, проверьте устройство антивирусом и смените пароли.
Частые вопросы
Может ли троян ZloyRAT украсть деньги с банковской карты?
Да, если на устройстве установлено банковское приложение. Троян получает доступ к SMS и push-уведомлениям, что позволяет перехватывать коды подтверждения и инициировать переводы. Поэтому при подозрении на заражение нужно срочно связаться с банком и сменить пароли.
Как понять, что мой телефон заражён ZloyRAT?
Явных признаков может не быть. Косвенно указывать на заражение может заметное замедление работы устройства, появление неизвестных приложений или странные SMS. Если вы устанавливали приложения из непроверенных источников, лучше проверить телефон антивирусом.
Достаточно ли удалить вредоносное приложение, чтобы избавиться от трояна?
Не всегда. Троян может оставить свои компоненты или получить права администратора устройства. После удаления рекомендуется проверить систему антивирусом и при необходимости выполнить сброс до заводских настроек. Также важно сменить все пароли.