Clientes de doze bancos uzbeques tornaram-se alvo da nova versão do software malicioso RedWing Stealer para Android. Este programa permite que invasores interceptem mensagens SMS, leiam notificações e obtenham outras informações confidenciais de dispositivos infectados.
A empresa F6 descobriu mais de 800 amostras deste malware, que foram distribuídas entre maio e setembro de 2026. O RedWing Stealer é uma versão atualizada da família de malware RedWing. Diferentemente da versão anterior do trojan bancário, que se concentrava principalmente no controle remoto de dispositivos comprometidos, a nova modificação destina-se predominantemente à coleta de dados.
De acordo com especialistas do departamento de análise de ameaças da F6, o malware foi distribuído sob a aparência de vários aplicativos Android. Entre eles estavam serviços de visualização de conteúdo 18+, aplicativos VPN e modificações e cheats para jogos móveis populares.
Especificamente, o RedWing Stealer disfarçava-se como aplicativos relacionados aos jogos Minecraft, Roblox, Standoff 2, Brawl Stars, Oxide, Exile, Skyrim e PUBG. Sob a aparência de aplicativos VPN falsos, foram distribuídos os programas Gosu VPN, KingVPN, KrakenVPN, HideMeVPN e FullVPN. Além disso, o malware era apresentado como arquivos GooglePhoto.apk e YandexPhoto.apk.
Tais aplicativos podem imitar as funções declaradas, enquanto executam operações maliciosas em segundo plano.
Pesquisas da F6 mostraram que o RedWing Stealer visa usuários em várias nações. A lista de vítimas inclui clientes de dezesseis bancos russos, doze bancos uzbeques e sete bancos cazaques. O malware também ataca clientes de nove marketplaces russos e oito microfinanças.
Após a instalação do RedWing Stealer, ele escaneia o dispositivo em busca de mensagens SMS de remetentes específicos e transmite essas informações aos operadores do malware. Isso cria uma ameaça potencial para usuários de serviços bancários, onde SMS são usados para confirmar transações ou receber códigos de uso único.
Além de SMS, o malware é capaz de ler notificações push, bem como coletar informações sobre o dispositivo, sua localização e estado, cartões SIM conectados, histórico de chamadas, contatos e aplicativos instalados. O RedWing Stealer também pode enviar SMS e solicitações USSD por conta própria, abrir links da web e ocultar seu ícone no dispositivo.
Para funcionar, o aplicativo malicioso exige que o usuário lhe conceda uma série de permissões. Inicialmente, o programa solicita acesso total às mensagens SMS, o que lhe dá a capacidade de ler e enviar mensagens, incluindo comandos USSD. Em seguida, o aplicativo solicita permissão para funcionar em segundo plano e iniciar automaticamente, para continuar agindo após o usuário sair do aplicativo ou reiniciar o dispositivo.
Após obter as permissões necessárias, o programa pede ao usuário para inserir um PIN. De acordo com a pesquisa da F6, os dados inseridos são imediatamente enviados para o servidor dos invasores. Depois disso, o aplicativo entra em modo de segundo plano e continua transmitindo informações do dispositivo sem o conhecimento do usuário.