Es gibt Indizien dafür, dass der Trojaner aus Russland stammen könnte.
Er infiziert keine (oder wird dort nicht aktiv) Android-Geräte, die auf russisch, usbekisch, belarussisch, etc. eingestellt sind und räumt auch Kryptowallets ab. Dazu ist der Gründer der Sicherheitsfirma, die vor ihm warnt, in Russland wegen Hochverrats verhaftet worden.
Etwas längerer Artikel beim
SPIEGEL frei zugänglich.