DragonDoll залезает в переписки любителей Android под видом апдейта Chrome

Пользователи Android более чем из 26 стран, включая Россию, подверглись атакам нового шпионского софта DragonDoll. Зловред маскируется под обновление Google Chrome, а после установки получает почти полный контроль над Android-смартфоном, сообщили эксперты Positive Technologies.

DragonDoll обнаружили весной 2026 года при анализе атаки на пользователей из Саудовской Аравии. За два месяца специалисты Positive Technologies зафиксировали около 150 образцов шпионской программы.

Сценарий заражения начинается с поддельного сайта, оформленного под официальную страницу Chrome. Посетителю предлагают срочно обновить браузер, но вместо апдейта он загружает опасное приложение.

После запуска DragonDoll запрашивает разрешения службы специальных возможностей и в несколько этапов устанавливает защищённый от анализа шпионский модуль. Он позволяет удалённо включать и выключать экран, отслеживать нажатия, делать снимки экрана, читать уведомления и наблюдать за действиями пользователя.

Зловред также накладывает поддельные окна поверх настоящих приложений. Такие оверлеи перехватывают вводимые пароли и ПИН-коды, пока жертва уверена, что работает с легитимным интерфейсом.

DragonDoll способен собирать списки контактов и чатов Telegram и WhatsApp (принадлежит корпорации Meta, признанной экстремисткой и запрещённой в России), считывать текст и время сообщений прямо с экрана, а также перехватывать всплывающие уведомления Telegram. Содержимое других приложений, включая Viber, шпион копирует из видимой области дисплея.

Собранные сведения шифруются и отправляются на управляющий сервер, размещённый на российском хостинге. Пользователям рекомендуется обновлять Chrome только через Google Play, не устанавливать APK-файлы с незнакомых сайтов и не выдавать специальным возможностям права по первому требованию. Если браузер просит обновиться на случайной странице, обновлять пора не Chrome, а отношение к таким предложениям.