ZeroDayRAT Mobil Spyware

Cybersikkerhedsforskere har afdækket en sofistikeret mobil spywareplatform kendt som ZeroDayRAT, der i øjeblikket markedsføres på Telegram som en omfattende løsning til at udtrække følsomme data og udføre overvågning i realtid på både Android- og iOS-enheder. Platformen, der markedsføres som en spionagepakke, der er klar til implementering, rækker langt ud over grundlæggende dataindsamling og omfatter aktiv overvågning og direkte økonomisk udnyttelse.

Operatøren har dedikerede Telegram-kanaler til salg, kundesupport og løbende opdateringer, hvilket giver købere centraliseret adgang til et fuldt funktionelt spyware-økosystem. Denne strømlinede distributionsmodel sænker adgangsbarrieren betydeligt for cyberkriminelle, der søger avancerede overvågningsfunktioner.

Bred enhedskompatibilitet og fleksibel implementering

ZeroDayRAT understøtter Android-versioner 5 til 16 og iOS-versioner op til 26, hvilket sikrer bred enhedsdækning. Malwaren menes primært at være distribueret via social engineering-kampagner og svigagtige app-markedspladser, der er designet til at narre brugere til at installere ondsindede applikationer.

Købere modtager en malware-builder, der genererer brugerdefinerede skadelige binære filer. Disse binære filer administreres via et online kontrolpanel, som operatører kan installere på deres egne servere, hvilket giver dem fuld administrativ kontrol over inficerede enheder.

Omfattende enhedsintelligens og lokationssporing

Når ZeroDayRAT er installeret, giver det operatører omfattende indsigt i den kompromitterede enhed. Gennem et selvhostet administrationspanel kan angribere få adgang til detaljerede oplysninger såsom enhedsmodel, operativsystemversion, batteristatus, SIM-data, udbyderoplysninger, programbrug, notifikationsindhold og forhåndsvisninger af de seneste SMS-beskeder. Denne information gør det muligt for trusselsaktører at konstruere detaljerede offerprofiler, herunder kommunikationsmønstre og ofte brugte applikationer.

Platformen registrerer også live GPS-koordinater og kortlægger dem ved hjælp af Google Maps, samtidig med at den fører en historisk log over offerets bevægelser. Denne vedvarende geolokationssporing omdanner effektivt den inficerede enhed til et kontinuerligt overvågningsværktøj.

Kontooptælling og eksponering af legitimationsoplysninger

En særligt bekymrende funktion er panelet 'Konti', som opregner alle konti, der er registreret på den inficerede enhed. Dette omfatter udbredte tjenester såsom:

• Google, WhatsApp, Instagram, Facebook, Telegram
• Amazon, Flipkart, PhonePe, Paytm og Spotify

Tilknyttede brugernavne eller e-mailadresser eksponeres også, hvilket muliggør indsamling af legitimationsoplysninger, identitetsprofilering og potentielle forsøg på kontoovertagelse.

Avanceret overvågning og omgåelse af tofaktorgodkendelse

ZeroDayRAT inkorporerer en række indgribende overvågnings- og aflytningsfunktioner. Disse omfatter:

• Tastetrykslogning for at indsamle legitimationsoplysninger og privat kommunikation
• Udtræk af SMS-beskeder, inklusive engangsadgangskoder (OTP'er) brugt til omgåelse af tofaktorgodkendelse
• Kamerastreaming i realtid og mikrofonaktivering til live audiovisuel overvågning

Disse funktioner gør det muligt for modstandere at udføre praktisk, interaktiv overvågning og forvandle kompromitterede enheder til aktiver til fjernindsamling af efterretninger.

Integrerede kryptovaluta- og banktyverimoduler

Ud over overvågning integrerer malwaren mekanismer til økonomisk tyveri. En kryptovaluta-tyverikomponent scanner efter tegnebogsapplikationer som MetaMask, Trust Wallet, Binance og Coinbase. Når et offer kopierer en tegnebogsadresse til udklipsholderen, erstatter malwaren den med en adresse, der kontrolleres af angriberen, og omdirigerer transaktioner uden brugerens bevidsthed.

Et dedikeret bankstyvermodul er yderligere rettet mod digitale betalingstjenester, herunder Apple Pay, Google Pay, PayPal og PhonePe. PhonePe udnytter Indiens Unified Payments Interface (UPI), en protokol designet til at lette peer-to-peer-transaktioner mellem banker og mellem personer, hvilket gør det til et attraktivt mål for økonomisk motiverede aktører.

Udviklende trusler fra mobilspionage

ZeroDayRAT repræsenterer et fuldt pakket mobilt angrebsrammeværk. Funktioner, der tidligere krævede nationalstatslige ressourcer eller brugerdefineret angrebsudvikling, er nu kommercielt tilgængelige via Telegram. En enkelt operatør kan få browserbaseret adgang til et offers positionsdata, kommunikation, finansielle konti, kamerafeed, mikrofoninput og tastetryk.

Malwaren stemmer overens med en bredere tendens inden for mobiltrusler, der udnytter phishing-kampagner og infiltration af officielle app-markedspladser. Angribere har gentagne gange identificeret metoder til at omgå sikkerhedsforanstaltninger implementeret af Apple og Google, og manipulerer ofte brugere til at installere ondsindede applikationer.

På iOS-enheder misbruger kampagner ofte virksomhedsklargøringsmekanismer, der giver organisationer mulighed for at distribuere applikationer uden for den officielle App Store. Ved at kommercialisere spyware-pakker, der kombinerer overvågning og økonomiske tyverifunktioner, fortsætter trusselsaktører med at reducere tekniske barrierer for mindre erfarne cyberkriminelle, samtidig med at de forstærker sofistikeringen og vedholdenheden af mobilfokuserede angreb.

ZeroDayRAT understreger en kritisk realitet: Avanceret mobilovervågning og økonomisk udnyttelse er ikke længere begrænset til elitegrupper, men er i stigende grad tilgængelige inden for cyberkriminalitetsundergrunden.