Dieselbe Schadsoftware wird laut F6 über zwei weitere gefälschte Anwendungen verteilt: GosuVPN, beworben als kostenloser, angeblich staatlich unterstützter Dienst für den Zugang zum unbeschränkten Internet, sowie Drone Radar, das Drohnenangriffe in Echtzeit auf einer interaktiven Karte darstellen soll. Alle drei Apps werden über eine Anfang Oktober registrierte Website beworben; die Forscher gaben an, eine Sperrung der Seite in Russland beantragt zu haben. Wer hinter der Kampagne steckt, ist unbekannt.

Schädliche Anwendungen für Autofahrer werden nach Angaben von F6 typischerweise in Online-Communities für Lkw-Fahrer, Taxibetreiber und Lieferdienstmitarbeiter beworben. Hintergrund ist die verbreitete Kraftstoffknappheit in Russland und steigende Benzinpreise, die unter anderem auf wiederholte ukrainische Drohnen- und Raketenangriffe mit großer Reichweite auf russische Ölraffinerien zurückgehen.

ZloyRAT wurde von F6 erstmals in diesem Jahr identifiziert. Nach der Installation tarnt sich die Schadsoftware als legitime App und fordert Berechtigungen für Textnachrichten, Kontakte und Telefonate an. Sie kann eingehende SMS und Push-Benachrichtigungen abgreifen sowie von einem infizierten Gerät aus Nachrichten versenden und Anrufe tätigen. Im Visier stehen zudem Daten aus mehr als 60 russischen Banking- und Finanz-Apps sowie aus Online-Marktplätzen, Behördendiensten und dem Messenger Telegram.

Um ihre Aktivität zu verschleiern, kann ZloyRAT bei Interaktion mit der schädlichen App eine legitime Website anzeigen, sodass Nutzer die Kompromittierung schwerer erkennen. Infizierte Telefone können den Forschern zufolge langsamer arbeiten. Wie viele Menschen die Apps heruntergeladen haben und ob es zu bestätigten finanziellen Verlusten kam, teilte F6 nicht mit.

Die Kampagne reiht sich in eine breitere Welle von Cyberkriminalität ein, die die kriegsbedingten Störungen in Russland ausnutzt – insbesondere die Sorge vor Drohnenangriffen und um die Kraftstoffversorgung. Bereits früher in diesem Jahr identifizierte F6 eine weitere Android-App namens RadarTrevog, die sich als Drohnenwarndienst ausgab und dabei RedWing Stealer verbreitete, eine auf Datendiebstahl ausgelegte Schadsoftware. Die Forscher entdeckten mehr als 800 Samples dieser Malware, versteckt in Apps, die als Drohnenwarndienste, Karten zur Kraftstoffverfügbarkeit, VPNs und andere mobile Werkzeuge beworben wurden.

Auch für Online-Betrug hat die Treibstoffknappheit Gelegenheiten geschaffen:

  • Im Herbst richteten Betrüger mindestens 17 Websites unter der Marke FuelDrive ein, die Großlieferungen von Kraftstoff in ganz Russland anboten.
  • Eine im August aufgedeckte Operation nutzte eine fiktive Firma namens Toplivo24, um Benzin, Diesel und Erdgas zu Preisen von bis zu 30 Prozent unter Marktniveau anzubieten.
  • Im Juli identifizierte F6 mehr als 60 betrügerische Websites, von denen sich einige als Tankstellenkarten ausgaben und darauf abzielten, Telegram-Konten zu übernehmen.
  • Eine separate Kampagne bot Autofahrern an, 20 Liter Benzin im Voraus zu reservieren, um angeblich Engpässe und lange Warteschlangen zu umgehen.