جاسوسافزار موبایل ZeroDayRAT
محققان امنیت سایبری یک پلتفرم جاسوسی موبایل پیچیده به نام ZeroDayRAT را کشف کردهاند که در حال حاضر در تلگرام به عنوان یک راهحل جامع برای استخراج دادههای حساس و انجام نظارت بلادرنگ بر روی دستگاههای اندروید و iOS تبلیغ میشود. این پلتفرم که به عنوان یک مجموعه جاسوسی آماده برای استقرار به بازار عرضه شده است، فراتر از برداشت دادههای اولیه عمل میکند و به نظارت فعال و بهرهبرداری مالی مستقیم میپردازد.
این اپراتور کانالهای اختصاصی تلگرام را برای فروش، پشتیبانی مشتری و بهروزرسانیهای مداوم حفظ میکند و به خریداران دسترسی متمرکز به یک اکوسیستم جاسوسی کاملاً کاربردی را ارائه میدهد. این مدل توزیع ساده، موانع ورود مجرمان سایبری که به دنبال قابلیتهای نظارتی پیشرفته هستند را به طور قابل توجهی کاهش میدهد.
فهرست مطالب
سازگاری گسترده با دستگاهها و استقرار انعطافپذیر
ZeroDayRAT از نسخههای اندروید ۵ تا ۱۶ و iOS تا ۲۶ پشتیبانی میکند و پوشش گستردهای از دستگاهها را تضمین میکند. اعتقاد بر این است که این بدافزار عمدتاً از طریق کمپینهای مهندسی اجتماعی و بازارهای برنامههای جعلی که برای فریب کاربران جهت نصب برنامههای مخرب طراحی شدهاند، توزیع میشود.
خریداران یک سازنده بدافزار دریافت میکنند که فایلهای باینری مخرب سفارشی تولید میکند. این فایلهای باینری از طریق یک پنل کنترل آنلاین مدیریت میشوند که اپراتورها میتوانند آن را روی سرورهای خود مستقر کنند و به آنها کنترل کامل اداری بر دستگاههای آلوده را میدهد.
هوش جامع دستگاه و ردیابی موقعیت مکانی
ZeroDayRAT پس از نصب، به اپراتورها امکان مشاهدهی گستردهای از دستگاه آسیبدیده را میدهد. مهاجمان از طریق یک پنل مدیریتی مستقل میتوانند به اطلاعات دقیقی مانند مدل دستگاه، نسخه سیستم عامل، وضعیت باتری، دادههای سیمکارت، اطلاعات اپراتور، میزان استفاده از برنامهها، محتوای اعلانها و پیشنمایش پیامکهای اخیر دسترسی پیدا کنند. این اطلاعات به مهاجمان امکان میدهد تا پروفایلهای دقیقی از قربانیان، از جمله الگوهای ارتباطی و برنامههای پرکاربرد، ایجاد کنند.
این پلتفرم همچنین مختصات GPS را به صورت زنده ثبت کرده و با استفاده از نقشههای گوگل، آنها را نقشهبرداری میکند و در کنار آن، تاریخچهای از حرکات قربانی را نیز نگهداری میکند. این ردیابی مداوم موقعیت جغرافیایی، دستگاه آلوده را به طور مؤثر به یک ابزار نظارتی مداوم تبدیل میکند.
شمارش حسابها و افشای اعتبارنامهها
یکی از ویژگیهای نگرانکننده، پنل «حسابها» است که تمام حسابهای ثبتشده در دستگاه آلوده را فهرست میکند. این شامل سرویسهای پرکاربردی مانند موارد زیر میشود:
- گوگل، واتس اپ، اینستاگرام، فیسبوک، تلگرام
- آمازون، فلیپکارت، فونپی، پیتیام و اسپاتیفای
نامهای کاربری یا آدرسهای ایمیل مرتبط نیز در معرض خطر قرار دارند که امکان برداشت اعتبارنامه، پروفایلسازی هویت و تلاشهای احتمالی برای تصاحب حساب را فراهم میکند.
نظارت پیشرفته و دور زدن احراز هویت دو مرحلهای
ZeroDayRAT طیف وسیعی از قابلیتهای نظارت و رهگیری نفوذی را در خود جای داده است. این قابلیتها عبارتند از:
- ثبت وقایع ضربه کلید برای ضبط اعتبارنامهها و ارتباطات خصوصی
- استخراج پیامکها، از جمله رمزهای عبور یکبار مصرف (OTP) که برای دور زدن احراز هویت دو مرحلهای استفاده میشوند
- پخش زنده دوربین و فعالسازی میکروفون برای نظارت صوتی و تصویری زنده
این ویژگیها به دشمنان این امکان را میدهد که نظارت تعاملی و عملی انجام دهند و دستگاههای آسیبدیده را به داراییهای جمعآوری اطلاعات از راه دور تبدیل کنند.
ماژولهای یکپارچهی سرقت ارز دیجیتال و سرقت بانکی
فراتر از نظارت، این بدافزار مکانیسمهای سرقت مالی را ادغام میکند. یک مؤلفهی دزد ارز دیجیتال، برنامههای کیف پول مانند MetaMask، Trust Wallet، Binance و Coinbase را اسکن میکند. هنگامی که قربانی آدرس کیف پول را در کلیپبورد کپی میکند، بدافزار آن را با آدرسی که توسط مهاجم کنترل میشود جایگزین میکند و تراکنشها را بدون آگاهی کاربر هدایت میکند.
یک ماژول سرقت بانکی اختصاصی، سرویسهای پرداخت دیجیتال، از جمله Apple Pay، Google Pay، PayPal و PhonePe را بیشتر هدف قرار میدهد. PhonePe از رابط پرداختهای یکپارچه هند (UPI) استفاده میکند، پروتکلی که برای تسهیل تراکنشهای بین بانکی نظیر به نظیر و شخص به فروشنده طراحی شده است و آن را به هدفی جذاب برای بازیگران با انگیزههای مالی تبدیل میکند.
تهدیدات جاسوسی موبایل در حال تکامل
ZeroDayRAT یک چارچوب کاملاً بستهبندیشده برای نفوذ به موبایل است، قابلیتهایی که قبلاً به منابع دولتی یا توسعه اکسپلویت سفارشی نیاز داشتند، اکنون از طریق تلگرام به صورت تجاری در دسترس هستند. یک اپراتور واحد میتواند از طریق مرورگر به دادههای مکانی، ارتباطات، حسابهای مالی، فید دوربین، ورودی میکروفون و کلیدهای فشردهشده توسط قربانی دسترسی پیدا کند.
این بدافزار با روند گستردهتری در تهدیدات تلفن همراه که از کمپینهای فیشینگ و نفوذ به بازارهای رسمی برنامهها سوءاستفاده میکنند، همسو است. مهاجمان بارها روشهایی را برای دور زدن تدابیر امنیتی اجرا شده توسط اپل و گوگل شناسایی کردهاند که اغلب کاربران را برای نصب برنامههای مخرب ترغیب میکنند.
در دستگاههای iOS، کمپینها اغلب از سازوکارهای تأمین سازمانی سوءاستفاده میکنند که به سازمانها اجازه میدهد برنامههای خود را خارج از فروشگاه رسمی App Store توزیع کنند. با تجاریسازی بستههای نرمافزار جاسوسی که ویژگیهای نظارتی و سرقت مالی را با هم ترکیب میکنند، عاملان تهدید همچنان موانع فنی را برای مجرمان سایبری کمتجربه کاهش میدهند و در عین حال پیچیدگی و تداوم حملات متمرکز بر موبایل را تقویت میکنند.
ZeroDayRAT یک واقعیت حیاتی را برجسته میکند: قابلیتهای پیشرفته نظارت بر موبایل و سوءاستفاده مالی دیگر محدود به گروههای تهدید نخبه نیست، بلکه به طور فزایندهای در میان مجرمان سایبری زیرزمینی نیز قابل دسترسی است.
