Компания F6 сообщила о резком росте кибератак в России: за первые десять месяцев 2025 года выявлено как минимум 56 тысяч случаев, связанных с использованием связки вредоносных программ NFCGate и RatOn. Общий ущерб банковских клиентов оценивается минимум в 1,6 млрд рублей. Эти инструменты позволяют злоумышленникам удалённо управлять смартфонами жертв и проводить операции в банковских приложениях без их ведома.
Основой схемы служит изменённая версия легального приложения NFCGate, предназначенного для работы с NFC‑трафиком. Пользователю предлагают установить APK‑файл, выдавая его за полезный сервис. Далее злоумышленники под предлогом обновления подгружают троян RatOn, после чего на устройство автоматически ставится модифицированный NFCGate.
RatOn обладает широким набором функций: может делать частые скриншоты экрана, считывать текст, подменять реквизиты при переводах, открывать фишинговые страницы, выводить ложные «чёрные окна» поверх интерфейса для сокрытия действий преступников и отправлять SMS с телефона жертвы. Это даёт злоумышленникам доступ к банковским приложениям, а также к аккаунтам в соцсетях, мессенджерам и другим сервисам.
Отдельные сценарии атак направлены на клонирование банковских карт. В одном случае приложение просит приложить карту и ввести PIN‑код, передавая данные мошенникам. В другом — злоумышленники создают на устройстве клон своей карты, и при пополнении через банкомат деньги уходят им.
По словам специалистов, современные антивирусы способны выявлять подозрительные APK-файлы, но многоэтапность заражения и маскировка позволяют вредоносам обходить защиту. В F6 подчёркивают, что наличие полноценного русского интерфейса в RatOn указывает на прицельную ориентацию на российских пользователей и вероятность дальнейшего развития этих схем.
Основой схемы служит изменённая версия легального приложения NFCGate, предназначенного для работы с NFC‑трафиком. Пользователю предлагают установить APK‑файл, выдавая его за полезный сервис. Далее злоумышленники под предлогом обновления подгружают троян RatOn, после чего на устройство автоматически ставится модифицированный NFCGate.
RatOn обладает широким набором функций: может делать частые скриншоты экрана, считывать текст, подменять реквизиты при переводах, открывать фишинговые страницы, выводить ложные «чёрные окна» поверх интерфейса для сокрытия действий преступников и отправлять SMS с телефона жертвы. Это даёт злоумышленникам доступ к банковским приложениям, а также к аккаунтам в соцсетях, мессенджерам и другим сервисам.
Отдельные сценарии атак направлены на клонирование банковских карт. В одном случае приложение просит приложить карту и ввести PIN‑код, передавая данные мошенникам. В другом — злоумышленники создают на устройстве клон своей карты, и при пополнении через банкомат деньги уходят им.
По словам специалистов, современные антивирусы способны выявлять подозрительные APK-файлы, но многоэтапность заражения и маскировка позволяют вредоносам обходить защиту. В F6 подчёркивают, что наличие полноценного русского интерфейса в RatOn указывает на прицельную ориентацию на российских пользователей и вероятность дальнейшего развития этих схем.