В тематических чатах снова рекламируют приложение, о котором мечтает любой водитель. Оно обещает показать, где стоят экипажи ДПС, где висят камеры и на какой заправке ещё есть топливо. Ссылка приходит прямо в чат, где все свои, а установка занимает минуту. Специалисты по безопасности разобрали этот «радар» и выяснили, что настоящая его работа начинается уже после того, как на экране появилась карта. И к дорогам она никакого отношения не имеет.
Визуализация опасности ДПС Радар на Android
Обещание, на которое клюют водители
Приложение называется «ДПС Радар. Топливо онлайн». Его рекламируют в чатах и сообществах автолюбителей и обещают сразу три вещи: экипажи ГАИ, камеры фиксации нарушений и наличие топлива на АЗС в реальном времени.
👉 Читай AndroidInsider.ru в MAX
Расчёт точный. Про посты ДПС в водительских чатах пишут постоянно, а приложение выглядит как удобная замена ручным сообщениям «на выезде из города стоят». Скачивают его не из RuStore или Google Play, а по ссылке из чата — и это первый тревожный сигнал, который многие пропускают. Что происходит со смартфоном после установки приложений не из магазина, мы подробно разбирали в материале о том, что будет, если скачать APK не из Google Play.
Что на самом деле оказывается на смартфоне
Специалисты компании F6, которая занимается кибербезопасностью, разобрали этот «радар» и выяснили, что это дроппер. Так называют программу-загрузчик: сама она почти ничего не делает, её задача — незаметно поставить на смартфон основную вредоносную программу. В этом случае это троян ZloyRAT.
Страница загрузки опасного приложения на Android
Чтобы человек ничего не заподозрил, после запуска на экране открывается сайт, который выглядит вполне обычно. Владелец видит то, что ожидал увидеть, закрывает приложение и забывает о нём. А троян остаётся работать в фоне.
Почему доступ к SMS страшнее, чем кажется
Главное, что умеет ZloyRAT, — читать входящие SMS и push-уведомления. Для обычного человека это звучит безобидно, но именно в SMS и уведомлениях приходят коды подтверждения от банков, Госуслуг и маркетплейсов. Тот, кто видит эти коды, может войти в ваши аккаунты и подтвердить операции от вашего имени.
👉 Залетай в чат AndroidInsider.ru в MAX
Троян умеет и больше, причём без ведома владельца:
- отправлять SMS с вашего номера;
- выполнять USSD-команды — короткие запросы вида *100#;
- совершать звонки;
- собирать список контактов.
Через USSD-команды можно управлять услугами и счётом номера, а рассылка SMS по вашим контактам — готовый способ заразить следующих людей: сообщение от знакомого вызывает куда больше доверия. Именно поэтому коды из SMS лучше не показывать даже на экране блокировки — как это настроить, мы рассказывали в тексте о том, как спрятать SMS с экрана блокировки Android.
60 приложений, ради которых всё затевалось
Камеры и посты ДПС злоумышленников не интересуют. Троян охотится на данные из более чем 60 приложений: российских банков и финансовых сервисов, маркетплейсов, государственных сервисов и Telegram.
⚡ Подписывайся на AndroidInsider в Telegram
Получается полный набор: доступ к деньгам, к покупкам с привязанными картами, к Госуслугам и к переписке. С Госуслугами и кодами из SMS мошенники могут не только вывести деньги, но и попытаться оформить кредит на ваше имя.
Экран оформления кредита в приложении Госуслуги на Android
Банки такие сценарии уже видят и начинают защищаться сами. Если на смартфоне найдут подозрительное приложение, перевод могут просто отклонить — об этом мы писали в материале о том, почему банки начнут блокировать переводы на Android.
Тот же троян прячется не только в радаре ДПС
Водители — не единственная цель. Тот же загрузчик злоумышленники распространяют ещё под двумя масками:
- «Радар для БПЛА» — якобы приложение с предупреждениями о дронах;
- бесплатный «госВПН».
Все три приманки устроены одинаково. Они обещают то, что людям действительно нужно прямо сейчас, и то, чего нет в официальных магазинах приложений. Поэтому человек и соглашается поставить файл по ссылке из чата. Если в любом сообществе вам предлагают «полезное приложение», которого нет в RuStore или Google Play, это повод остановиться, а не устанавливать его, пока ссылку не удалили.
Пять минут, чтобы проверить свой смартфон
Если вы или кто-то из близких ставили приложения для водителей по ссылкам из чатов, смартфон стоит проверить. Названия пунктов меню зависят от бренда и версии Android, но порядок примерно одинаковый:
- Откройте «Настройки» — «Приложения» и пролистайте весь список.
- Поищите приложения со словами «радар», «ДПС», «топливо», «БПЛА», «VPN», а также программы без названия или с непонятной иконкой.
- Откройте «Настройки» — «Специальные возможности» и проверьте, у каких приложений есть этот доступ.
- Проверьте раздел «Доступ к уведомлениям»: обычно он находится в «Приложениях» в пункте «Специальный доступ».
- Запустите проверку в Google Play Защите: «Play Маркет» — значок профиля — «Play Защита» — «Проверить».
Базовые действия по проверке смартфона
Подозрительно, если доступ к специальным возможностям или уведомлениям есть у приложения, которому он не нужен. Радару, который показывает камеры, незачем читать ваши уведомления. Остальные признаки заражения — быстрый разряд, странные SMS в отправленных, чужие подписки — мы собрали в инструкции о том, как понять, что Android-смартфон заражён.
Если радар уже стоит, считать нужно минуты
Удалить приложение — правильно, но недостаточно: троян мог уже прочитать коды и передать их злоумышленникам. Поэтому действовать нужно в таком порядке:
- Включите режим полёта, чтобы троян не мог отправлять SMS и получать команды.
- Позвоните в банк по номеру с обратной стороны карты с другого телефона и попросите заблокировать карты и доступ в приложение.
- Удалите подозрительное приложение. Если кнопка «Удалить» неактивна, сначала уберите его из «Администраторов устройства» в разделе «Безопасность».
- Смените пароли от Госуслуг, банков и маркетплейсов — уже с чистого устройства.
- Проверьте в личном кабинете оператора, не подключены ли платные услуги и не было ли переводов со счёта номера.
- Если удалить приложение не получается, сделайте сброс до заводских настроек.
Если деньги уже списали, счёт идёт на часы: в некоторых случаях банк обязан вернуть перевод, но только если обратиться к нему сразу. Мы расписали алгоритм по шагам в материале о том, что делать, если деньги ушли мошенникам.
❗ Поделись своим мнением или задай вопрос в нашем телеграм-чате
А посты ДПС и камеры можно смотреть и без риска. Камеры показывают обычные навигаторы из RuStore, а про всё остальное водители и так пишут друг другу в тех же чатах — достаточно читать сообщения, а не устанавливать приложения по ссылкам из них. Если в вашем водительском чате тоже предлагали такой «радар», расскажите об этом в чате AndroidInsider.ru в MAX.
