По крайней мере два приложения о бензине, которые появились после начала топливного кризиса в России, могли использоваться для кражи со смартфонов личных данных, включая фото и видео, свидетельствует анализ эксперта по IT-безопасности, который предоставил свои выводы «Агентству». Согласно им, сервисы входят в более широкую сеть вредоносных ресурсов. В коде одного из приложений эксперт нашел пометки на украинском языке.
Детали. Внимание на приложение «Где бензин?» в рунете обратили в конце июня: его рекомендовали в частности Hi-Tech Mail (позже рекомендацию удалили), «Царьград», популярный православный портал «Милосердие». 7 июля появилась новая версия этого приложения, сообщил «Агентству» независимый IT-эксперт, который отвечает за информационную безопасность в крупном российском правозащитном проекте и готовил технические расследования для русскоязычных СМИ в изгнании.
- ️Установочный файл сервиса (APK) распространяется не через магазин приложений Google Play, а через сайт gdebenzin[.]org. Домен зарегистрировали 11 ноября 2025 года, свидетельствуют данные сервиса Whois, а первые снимки сайта в сервисе Wayback Machine относятся к 21 июня 2026 года.
- В конце июня компания Positive Technologies 23 июня сообщила об обнаружении «нескольких ресурсов, использующих „топливную“ тему для вредоносных целей», дав ссылку в том числе на сайт «Где бензин?». В публикации говорилось, что приложение собирает фото и данные геопозиции с устройства «с последующей отправкой в S3-хранилища, что впоследствии может использоваться для шантажа жертвы и иных целей».
- ️24 июня «Лаборатория Касперского» сообщила о неназванном вредоностном приложении, «мимикрирующем под сервис для поиска топлива». 1 июля о том, что ресурсы, предоставляющие информацию о наличии топлива на АЗС, могут предоставлять угрозу и незаконно собирать персональные данные, предупредило Минэнерго России.
- ️Независимый IT-эксперт, с которым поговорило «Агентство», считает, что приложение «Где бензин?» может копировать данные со смартфонов в удаленные хранилища.
Как работает приложение. После установки приложение запрашивает разрешения на доступ к файлам, фото, видео и геолокации. После запуска приложение копирует в облачные хранилища документы с телефона (файлы форматов вроде PDF, Word, Excel, а также изображения), выгружает фотографии и видео, отслеживает местоположение, утверждает эксперт.
- Цитата. «В приложении есть шесть локальных переключателей (can_d, can_dv, can_dvl, can_sp, max_pa, max_pq), которые управляют тем, что именно и в каком объёме отправлять: включена ли выгрузка документов, включена ли выгрузка видео, до какого максимального размера файла, насколько сжимать фото перед отправкой. Эти переключатели хранятся на телефоне, но их значения присылает сервер. В серверной документации задокументированы два способа изменить эти настройки удалённо: точечно — для одного конкретного телефона, или массово — сразу для всех установленных копий приложения», — пояснил эксперт.
- ️Вышедшая на прошлой неделе новая версия приложения при отправке данных об АЗС собирала не только GPS, но и «радиослепок» окружения — данные о сотовых вышках и Wi-Fi-точках, по которым можно восстанавливать перемещения пользователя даже без точной геолокации, сообщил аналитик. «К каждому репорту об АЗС (ReportRequest) прикреплено поле network — слепок радиоокружения», — сказал исследователь.
Другие приложения. «Где бензин?» входит в сеть сервисов, свидетельствует анализ эксперта.
- ️Другие приложения сети — «Военное топливо», TacticLib, «МобилКЭШ», клоны «Веббанкира» и поддельные сайты, в том числе сайт оборонного предприятия «Завод Свердлова» и сайт кафе «Планта» в Дзержинске (сайты этих сервисов были перечислены и в публикации Positive Technologies о ресурсах, «использующих „топливную“ тему для вредоносных целей»).
- ️Сайт и приложение «Военное топливо» утверждает, что показывает «актуальную доступность топлива» и помогает найти талоны для сотрудников МВД, МЧС, ФСБ и военнослужащих. Домен voentoplivo[.]site был зарегистрирован 17 июня года, свидетельствуют данные сервиса Whois. При установке приложение просит доступ к геолокации, файлам на телефоне, фотографиям и видео. По данным исследователя, «Военное топливо» появилось позже, чем «Где бензин?». Фактически это одно и тоже приложение «с декоративными адаптациями под разное распространение».
- У всех исследованных приложений, по словам аналитика, одно и то же кодовое ядро, говорит эксперт.
- ️Сервис «МобилКЭШ» выглядит как «заявка на займ». Приложение просит пользователя указать имя, город, телефон и контакт в мессенджере, а затем выбрать статус: гражданский или военнослужащий, находится ли он «на СВО», в отпуске или уволен, а также был ли ранен.
- Приложение «Шабашка» и сайт sbsk[.]ws похоже на сервис по подбору персонала: пользователю предлагается заполнить анкету, указать контакты и базовые данные, а затем пройти психологический тест. «Шабашка» выставляет баллы по критериям, среди которых готовность нарушить обязательства (в том числе воинскую присягу), «холодный прагматизм» и восприимчивость к деньгам, свидетельствует анализ исследователя.
- Большая часть сайтов по распространению этих приложений находится на одном сервере с gdebenzin[.]org, сообщил собеседник «Агентства». Это сервер в сети американского хостинг-провайдера Namecheap. Cайты gdebenzin[.]org и других приложений сети используют один и тот же IP-адрес (159.198.68.127) и общий набор сетевых сервисов.
- Кроме того, в коде «Где бензин» содержалась ссылка на второй сервер — хранилище, куда, по версии эксперта, могли выгружаться данные с телефонов. На этом же сервере находились сайты приложений «МобилКЭШ» и «Шабашка», а также других сервисов сети.
- ️В коде автор исследования обнаружил служебные пометки на украинском языке, среди них «не підходить» и «найкращий». Имеющихся данных недостаточно для того, чтобы утверждать, что за сетью стоят украинские спецслужбы, говорит эксперт. Это может быть и самостоятельный криминальный бизнес, полагает он.
- ️»Агентство" не смогло связаться с авторами приложения «Где бензин?» и других приложений из сетки. На сайтах большинства приложений нет контактов. После заполнения анкеты на сайте «Шабашка» редактор «Агентства» не получи ответа.
Больше новостей, о которых боятся писать в России, — в наших аккаунтах в Telegram, Twitter, Facebook и рассылке «Агентства»