Positive Technologies: хакеры распространили программу-шпион для Android в 26 странах

Пользователи Android из более чем 26 стран, включая Россию, подверглись атакам нового шпионского приложения DragonDoll, которое маскируется под обновление браузера Google Chrome. Масштабную кампанию по его распространению обнаружили специалисты департамента Threat Intelligence экспертного центра безопасности Positive Technologies (PT ESC). За два месяца они зафиксировали около 150 образцов вредоносного ПО. DragonDoll дает злоумышленникам почти полный контроль над устройством жертвы и ворует данные, в том числе переписки в мессенджерах.

Заражение во всех случаях начинается одинаково: пользователь Google Chrome на Android попадает на поддельный сайт, оформленный под официальную страницу браузера, который сообщает о необходимости срочно его обновить. После нажатия кнопки обновления на телефон загружается файл, представляющий собой вредоносное приложение. Приложение требует от пользователя разрешения специальных возможностей, которые должны помогать людям со слабым зрением, но помогают вредоносному ПО получить полный доступ к устройству жертвы. После DragonDoll в несколько этапов устанавливает на смартфоне финальный шпионский модуль, тщательно защищенный от обратного анализа.

После установки злоумышленники могут в реальном времени отслеживать, что происходит на зараженном смартфоне, и управлять им удаленно. Программа включает и выключает экран, фиксирует нажатия, читает, отправляет и стирает SMS-сообщения, совершает звонки и удаляет их историю, добавляет и убирает контакты, а также делает скриншоты. Кроме того, DragonDoll умеет незаметно накладывать поверх настоящих приложений поддельные окна интерфейса и перехватывать введенные пользователем данные. Так злоумышленники получают пароли и ПИН-коды, которые вводит пользователь.

Отдельное внимание они уделяют мессенджерам. Программа нацелена на Telegram, WhatsApp и Signal: с помощью все той же функции специальных возможностей она считывает списки чатов и контактов, а также текст и время сообщений прямо с экрана. Для Telegram предусмотрен дополнительный механизм — перехват содержимого всплывающих уведомлений. Переписку в других приложениях, включая Viber, DragonDoll собирает по упрощенной схеме, копируя все, что видно на экране. Все собранные данные вредоносное ПО шифрует и отправляет на управляющий сервер злоумышленников, размещенный на российском хостинге.

Специалисты PT ESC впервые обнаружили вредонос весной этого года при анализе атаки на пользователей из Саудовской Аравии. Дальнейшее расследование привело их к аккаунту на GitHub, с которого с марта по май 2026 года обновлялся код программы: именно там появилось около 150 ее образцов. Ссылка из этого аккаунта вела на сеть поддельных сайтов с «обновлением» Google Chrome, содержание которых адаптировалось под язык жертвы. Всего было подготовлено более 30 языковых версий, включая русскую, украинскую, китайскую, корейскую и арабскую. Источник распространения ссылок на эти сайты установить пока не удалось.

«DragonDoll не использует уязвимости защиты, а эксплуатирует штатную функцию Android, к которой часто прибегают злоумышленники именно из-за ее широких прав. Поэтому стоит насторожиться, если только что установленное приложение запрашивает доступ к специальным возможностям без явной на то причины — это одна из самых частых уловок шпионского ПО. Обновлять браузер и другие приложения нужно только через официальные магазины, такие как Google Play, или с сайта разработчика, а не переходить по ссылкам на срочные “обновления” из сообщений, рекламы или всплывающих окон», — отмечают специалисты департамента Threat Intelligence экспертного центра безопасности Positive Technologies.