По данным исследователей, программа нацелена на клиентов 16 российских, 12 узбекистанских и 7 казахстанских банков. После установки она ищет на устройстве СМС от заданных отправителей и передаёт их злоумышленникам. Среди её возможностей также чтение push-уведомлений, сбор контактов и сведений об установленных приложениях.
F6 обнаружила более 800 образцов RedWing Stealer, распространявшихся в мае–сентябре 2026 года. Это количество образцов вредоносного ПО, а не подтверждённое число жертв. Программу маскировали под VPN, карты АЗС, игровые модификации и другие Android-приложения.
Для P2P-платежей такая угроза важна из-за риска компрометации телефона, на который приходят банковские сообщения и коды. Исследование касается устройств клиентов и не свидетельствует о взломе инфраструктуры перечисленных банков.
Отдельное внимание стоит уделять разрешениям приложений на чтение СМС и уведомлений: доступ к этим данным способен раскрыть информацию, используемую при подтверждении платёжных операций.