Более 200 поддельных приложений для Android тайно обманывают пользователей.

Эксперты по кибербезопасности из американской компании Zimperium обнаружили сложную мошенническую схему, в которой использовалось около 250 вредоносных приложений для Android, чтобы обманом заставить пользователей подписаться на платные услуги без их ведома.

Эти приложения замаскированы под популярные игры и социальные сети, такие как TikTok, Minecraft, Grand Theft Auto, Threads или Facebook Messenger.

После установки эти приложения тайно регистрируют жертв для получения доступа к платным контентным сервисам, в результате чего с пользователей напрямую взимается плата через их телефонные счета или счета мобильных операторов.

По данным компании Zimperium, эта кампания отслеживалась с марта 2025 года как минимум до января 2026 года и была особенно активна в Малайзии, Румынии, Таиланде и Хорватии.

Вредоносная программа активируется только при взаимодействии с целевым сетевым провайдером.

Опасность этой кампании заключается в ее способности выбирать цели с предельной точностью. Вредоносная программа считывает информацию с SIM-карты устройства, чтобы определить оператора связи жертвы перед началом атаки.

Если пользователь не входит в целевую группу операторов связи, приложение будет отображать только безобидные веб-сайты, чтобы избежать обнаружения. Но если устройство использует правильного оператора связи, который был предварительно запрограммирован, вредоносное ПО запустит процесс фишинга.

Во многих случаях поддельное приложение просит пользователей «подтвердить игровой аккаунт» или «подтвердить услугу», тем самым похищая код OTP, отправленный по SMS.

Для осуществления этого деяния хакеры использовали API сбора SMS-сообщений Android для перехвата одноразовых паролей, после чего автоматически отправляли команды JavaScript платежным шлюзам операторов связи.

Три варианта вредоносного ПО со сложными механизмами работы.

По данным исследователей, в ходе кампании использовались три различных варианта вредоносного ПО, преследующих одну и ту же цель: кража денег через платежные сервисы мобильной сети.

Первый вариант был ориентирован на автоматическую подписку на платные пакеты услуг. Это была также самая совершенная версия, способная считывать SIM-карты и активироваться только у операторов с предварительно зашифрованными кодами.

Второй вариант в основном нацелен на пользователей в Таиланде через платные SMS-сообщения. Вредоносная программа использует многоуровневый механизм для избежания обнаружения: приложение отображает легитимный интерфейс на лицевой стороне, но тайно открывает скрытые WebView для доступа к платежным шлюзам.

Кроме того, злоумышленники использовали методы кражи cookie-файлов для поддержания сеансов входа в платежную систему оператора связи.

Между тем, третий вариант сочетает SMS-фишинг с системой уведомлений в реальном времени через Telegram, позволяя хакерам напрямую отслеживать успешно зараженные устройства и оптимизировать свои атаки.

Компания Google высказала свою позицию, но эксперты по-прежнему обеспокоены.

По данным Dark Reading, Google утверждает, что вышеупомянутые вредоносные приложения не отображаются в магазине Google Play.

Компания Google также заявила, что функция Google Play Protect, включенная по умолчанию на устройствах Android, может автоматически защищать пользователей от известных вариантов вредоносных программ.

Однако многие эксперты считают, что этот инцидент подчеркивает растущую уязвимость экосистемы приложений Android, особенно с учетом того, что хакеры постоянно используют легитимные функции в своих целях.

Эксперты по безопасности считают, что это не труднообнаружимые уязвимости, а скорее распространенные особенности платформы, которые еще недостаточно регулируются, чтобы предотвратить риск злоупотреблений.

Что могут сделать пользователи Android для своей защиты?

Эксперты советуют пользователям загружать приложения только из надежных источников и избегать установки APK-файлов от третьих лиц или по ссылкам неизвестного происхождения.

Кроме того, пользователям следует регулярно проверять свои счета за телефон, просматривать любые необычные подписки и включать защитные функции, такие как Google Play Protect.

В условиях все более изощренных кампаний по распространению вредоносного ПО эксперты считают, что технологическим компаниям необходимо изменить свой подход к обеспечению безопасности приложений, вместо того чтобы полагаться исключительно на традиционные механизмы цензуры.