Приложение «ДПС радар. Топливо онлайн» обещает показывать экипажи ДПС, дорожные камеры и наличие бензина на заправках, но вместо полезного сервиса устанавливает на Android вредоносную программу. Специалисты F6 зафиксировали схему распространения ZloyRAT, способного читать сообщения и уведомления, собирать контакты и использовать телефонные функции без ведома владельца.
Злоумышленники рекламируют приложение в чатах, каналах и сообществах автомобилистов, включая группы водителей такси, доставки, каршеринга и грузоперевозок. Сайт для загрузки появился в доменной зоне .online четвёртого октября 2026 года. На том же ресурсе посетителям предлагали «GosuVPN», якобы бесплатный государственный VPN, и «Радар БПЛА», представленный как карта атак беспилотников в реальном времени. Во всех трёх случаях пользователи получали установщик ZloyRAT. После обращения CERT F6 доступ к сайту заблокировали на территории России.
Первым на смартфон попадает Android-дроппер, задача которого заключается в установке основной вредоносной программы. F6 обнаружила ZloyRAT в первой половине 2026 года. После запуска троян запрашивает доступ к СМС, контактам и управлению телефонными звонками. Полученные права позволяют читать входящие СМС и push-уведомления, отправлять сообщения и USSD-команды, а также совершать звонки на заданные злоумышленниками номера.
ZloyRAT старается не привлекать внимание владельца смартфона. После открытия вредоносная программа выводит на экран легитимный сайт, а нажатие на маскирующее уведомление снова переводит пользователя на веб-страницу. Такая схема создаёт впечатление, что установленное приложение просто открывает обычный интернет-сервис. Среди возможных признаков заражения F6 называет замедление работы устройства.
Особый интерес для операторов ZloyRAT представляют более 60 приложений российских банков и финансовых сервисов. В список целей также входят маркетплейсы, государственные сервисы и Telegram. Сам по себе запрос доступа к СМС или звонкам не доказывает заражение, однако сочетание чувствительных разрешений Android у программы, которой подобные функции не нужны для заявленной работы, служит серьёзным поводом проверить приложение.
Преступники уже использовали похожие приманки в течение 2026 года. Летом под видом приложения RadarTrevog для предупреждений об атаках беспилотников распространялся троян RedWing. Позднее злоумышленники начали маскировать вредоносные APK под карты наличия бензина. В новой кампании преступники объединили сразу несколько востребованных тем: дорожные камеры, посты ДПС, топливо, VPN и предупреждения о беспилотниках.
F6 рекомендует не устанавливать APK-файлы по ссылкам из мессенджеров, рекламы, форумов и неизвестных сайтов, а также проверять запрашиваемые приложением права. Информационному сервису с картой АЗС или дорожными камерами не требуется доступ к контактам, СМС и телефонным звонкам. При уже установленном подозрительном APK специалисты советуют удалить программу, проверить выданные разрешения и просканировать смартфон. Если приложение получило доступ к сообщениям или уведомлениям, пароли от важных аккаунтов лучше сменить с другого устройства и проверить банковские операции.