Il radar anti-droni e la VPN gratuita erano una trappola: ecco cosa faceva il malware

ZloyRAT è un malware Android distribuito attraverso finte applicazioni per automobilisti, VPN gratuite e radar per il tracciamento dei droni. Secondo gli esperti di F6, il trojan può leggere SMS e notifiche, raccogliere contatti, inviare messaggi ed effettuare chiamate. Le app fraudolente possono inoltre prendere di mira dati di oltre 60 servizi finanziari e digitali russi.

Gli esperti di F6 hanno scoperto una nuova campagna di diffusione del troyan ZloyRAT. I suoi dropper si spacciano per un servizio VPN statale gratuito, un radar per il tracciamento dei droni e un’applicazione per automobilisti che, si dice, mostra le pattuglie della polizia stradale, le telecamere e la disponibilità di carburante nelle stazioni di servizio.

I ricercatori scrivono che una delle esche di ZloyRAT è diventata l’applicazione «DPS radar. Carburante online». La pubblicità di tali applicazione viene attivamente promossa nei gruppi di chat degli automobilisti, canali e comunità, inclusi quelli dedicati al taxi, alla consegna, al car sharing e al trasporto merci.

Il sito attraverso il quale i criminali diffondono l’applicazione si trova nel dominio .online ed è stato creato il 4 ottobre 2026. Dopo la segnalazione degli esperti di CERT F6, l’accesso alla risorsa è stato bloccato nel territorio della Russia.

Su questo dominio, gli specialisti hanno trovato altre pagine in cui ai visitatori veniva offerto di scaricare altre applicazioni per Android. La prima applicazione chiamata è GosuVPN ed è pubblicizzata come servizio VPN statale gratuito che, si dice, fornisca un accesso sicuro a Internet libero. La seconda applicazione, Radar BLA, si presenta come una mappa online per il tracciamento degli attacchi di droni in tempo reale.

Tutte e tre le applicazioni si sono rivelate essere un dropper del malware ZloyRAT, che gli specialisti hanno scoperto nella prima metà del 2026.

Dopo l’avvio sul dispositivo della vittima, il trojan, sotto forma di programma utile, richiede il permesso di elaborare i messaggi SMS, oltre alla lettura dei contatti e la gestione delle chiamate telefoniche. Alla fine, gli operatori del malware possono leggere i messaggi SMS in arrivo e le notifiche push, ottenere l’elenco dei contatti, inviare autonomamente SMS e comandi USSD, nonché effettuare chiamate ai numeri specificati.

Nel frattempo, il malware cerca di non attirare l’attenzione su di sé. Dopo l’avvio, si maschera come un sito legittimo che si apre sullo schermo dello smartphone. Anche il clic sulla notifica reindirizza l’utente a questa risorsa, quindi la vittima potrebbe semplicemente non notare il comportamento strano dell’applicazione. Iricercatori osservano che uno dei segni indiretti di infezione potrebbe essere un rallentamento evidente del funzionamento del dispositivo.

Secondo le informazioni degli specialisti, gli operatori di ZloyRAT sono interessati ai dati di programmi specifici installati sul dispositivo infetto. In totale, questa lista include più di 60 applicazioni di banche e servizi finanziari russi, nonché marketplace, servizi governativi e Telegram.

Nel loro rapporto, gli esperti notano che lo schema con le esche automobilistiche si sviluppa già da diversi mesi. Ad esempio, già in autunno 2025 gli specialisti trovavano malware mascherato da radar della polizia stradale, e in estate 2026 i criminali hanno iniziato a offrire APK dannosi per verificare la disponibilità di benzina nelle stazioni di servizio.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response