В Узбекистане выявили Android-зловред Wonderland с тихой установкой

В Узбекистане выявили Android-зловред Wonderland с тихой установкой

В Узбекистане выявили Android-зловред Wonderland с тихой установкой

В Узбекистане набирает обороты новая волна мобильного мошенничества — на этот раз с более хитрым и «тихим» Android-зловредом. Аналитики Group-IB сообщили об атаках с использованием СМС-стилера Wonderland, который распространяется не напрямую, а через вредоносные дропперы, замаскированные под вполне легитимные приложения.

Если раньше пользователям рассылали откровенно подозрительные APK-файлы, которые сразу начинали вредить после установки, то теперь подход изменился.

Как отмечают исследователи, злоумышленники всё чаще используют дропперы — внешне безобидные приложения, внутри которых спрятана зашифрованная нагрузка.

Причём вредоносный компонент может устанавливаться локально, даже без подключения к интернету. Пользователю при этом показывают экран с просьбой «установить обновление, чтобы продолжить работу приложения» — и этого обычно хватает, чтобы он сам включил установку из неизвестных источников.

Wonderland (ранее известный как WretchedCat) — это Android-зловред, ориентированный на кражу СМС и одноразовых паролей. Он поддерживает двустороннюю связь с управляющим сервером, что позволяет операторам выполнять команды в реальном времени, в том числе отправлять USSD-запросы.

 

Зловред маскируется под Google Play или под «безобидные» файлы — видео, фотографии и даже приглашения на свадьбу. После установки он получает доступ к СМС, перехватывает OTP-коды и используется для хищения денег с банковских карт.

Дополнительно Wonderland умеет:

  • собирать список контактов;
  • скрывать пуш-уведомления, включая банковские и защитные;
  • отправлять СМС с заражённого устройства для дальнейшего распространения;
  • извлекать номер телефона и другую служебную информацию.

По данным Group-IB, за кампанией стоит финансово мотивированная группа TrickyWonders, которая активно использует Telegram для координации атак. Более того, злоумышленники применяют украденные Telegram-сессии пользователей из Узбекистана, которые покупаются на площадках дарквеба, — через них APK-файлы рассылаются контактам жертв и в чаты.

Если после заражения атакующим удаётся перехватить доступ к Telegram-аккаунту жертвы, цепочка заражений запускается заново — уже от её имени.

 

Wonderland связан сразу с двумя семействами дропперов:

  • MidnightDat (зафиксирован с 27 августа 2025 года),
  • RoundRift (с 15 октября 2025 года).

Сборка вредоносных APK автоматизирована: для этого используется специальный Telegram-бот, который генерирует уникальные версии приложения. Распространяют их так называемые «воркеры» — за процент от украденных средств. У каждой сборки — свои C2-домены, что делает инфраструктуру более живучей и усложняет блокировки.

 

По словам аналитиков, сама схема всё больше напоминает зрелый криминальный бизнес с разделением ролей: владельцы, разработчики, распространители и участники, проверяющие украденные банковские данные.

Эксперты подчёркивают, что Wonderland — лишь часть более широкой тенденции. В последние недели специалисты также зафиксировали появление других Android-зловредов:

  • Cellik — продаётся на даркнете и предлагает функции удалённого доступа, стриминг экрана, кейлоггер и даже «конструктор APK», позволяющий в один клик встраивать зловред в легитимные приложения из Google Play;
  • Frogblight — распространяется через СМС-фишинг под видом судебных уведомлений и активно дорабатывается под модель «вредонос как услуга»;
  • NexusRoute — атакует пользователей в Индии через фишинговые сайты, мимикрирующие под государственные сервисы, и сочетает кражу данных с функциями полноценного шпионского инструмента.

Как отмечают исследователи, злоумышленники всё активнее используют доверие к официальным сервисам, платёжным сценариям и популярным приложениям.

Методы компрометации Android-устройств становятся не просто сложнее — они эволюционируют с пугающей скоростью, подчёркивают в Group-IB.

И судя по всему, эпоха «простых» мобильных троянов окончательно уходит в прошлое.

ГАИ проиграла суд против роботов-доставщиков

Московский городской суд отклонил жалобу ГАИ на решение суда первой инстанции, который не усмотрел в действиях роботов-доставщиков состава административного правонарушения, связанного с нарушением Правил дорожного движения. Ранее ГАИ обвинило дочернюю компанию Яндекса — «Рободоставку» — в нарушении ПДД.

Поводом для разбирательства стало происшествие 7 марта, когда инспектор ГАИ счёл, что робот-доставщик, передвигавшийся по тротуару, создаёт помехи пешеходам.

По мнению инспектора, это подпадало под статью 12.33 КоАП РФ. Компании «Рободоставка» в этом случае грозил штраф в размере 300 тыс. рублей.

Представители Яндекса с такой трактовкой не согласились, указав, что в действиях роботов-доставщиков отсутствует и не может присутствовать умысел. Дело было рассмотрено в Мещанском районном суде Москвы, который поддержал позицию компании.

«Роботы-доставщики не относятся к транспортным средствам, определённым нормами действующего законодательства. Как следует из видеозаписи, робот-доставщик передвигался по краю тротуара, не перекрывая пешеходную зону, автоматически останавливался при приближении людей. Пешеходы продолжали движение. Контакта, вынужденного сближения, опасных манёвров или остановок зафиксировано не было. Следовательно, объективных признаков угрозы безопасности дорожного движения не имелось», — такую выдержку из решения суда приводит Autonews.

ГАИ с таким решением не согласилась и подала жалобу в Московский городской суд. Однако Мосгорсуд оставил её без удовлетворения. Решение было принято ещё 5 февраля, но опубликовано только вечером 9 февраля.

«Мы работаем над тем, чтобы роботы-доставщики безопасно и корректно интегрировались в городскую среду и городскую инфраструктуру в рамках экспериментального правового режима, а также находимся в постоянном взаимодействии с профильными ведомствами. Подобные кейсы помогают формировать и развивать понятные правила использования автономных устройств в городе по мере накопления практического опыта», — прокомментировали судебное решение в Яндексе.

RSS: Новости на портале Anti-Malware.ru