В Узбекистане выявлена новая волна мобильного мошенничества с использованием Android-зловреда Wonderland. В отличие от предыдущих угроз, вредонос распространяется через замаскированные под легитимные приложения дропперы, а не напрямую. Пользователей обманывают, предлагая «установить обновление», что позволяет активировать вредонос без подключения к интернету.
Wonderland (ранее WretchedCat) крадёт СМС и одноразовые пароли (OTP), получает доступ к контактам и системной информации, скрывает уведомления, в том числе банковские, и может отправлять сообщения для дальнейшего заражения. Зловред маскируется под Google Play, видео, фотографии или приглашения на события. После установки он используется для кражи денег с банковских карт.
По данным Group-IB, за кампанией стоит финансово мотивированная группа TrickyWonders, координирующаяся через Telegram и используя украденные аккаунты пользователей для распространения APK. Wonderland связан с двумя семействами дропперов: MidnightDat (с 27 августа 2025 года) и RoundRift (с 15 октября 2025 года). Распространение автоматизировано с помощью Telegram-бота, создающего уникальные версии приложений.
Эксперты отмечают, что схема напоминает зрелый криминальный бизнес с разделением ролей: владельцы, разработчики, распространители и проверяющие украденные данные. Wonderland — лишь часть общей тенденции: в последние недели появились и другие Android-зловреды, такие как Cellik, Frogblight и NexusRoute, которые крадут данные, предлагают удалённый доступ к устройствам и используют модели «вредонос как услуга».
Аналитики предупреждают, что методы атаки становятся более изощрёнными и используют доверие пользователей к официальным сервисам и популярным приложениям. Простые мобильные трояны уходят в прошлое, уступая место сложным и скрытым схемам кражи данных и денег.
Видите беспорядок или несправедливость в своём районе? Не проходите мимо! Присылайте нам фото, видео или новости в наш Telegram-чат. Ваши новости помогают нам отслеживать нарушения и информировать жителей вовремя.