ZeroDayRAT mobiele spyware

Onderzoekers op het gebied van cyberbeveiliging hebben een geavanceerd mobiel spywareplatform ontdekt, genaamd ZeroDayRAT. Dit platform wordt momenteel op Telegram gepromoot als een complete oplossing voor het verzamelen van gevoelige gegevens en het uitvoeren van realtime surveillance op zowel Android- als iOS-apparaten. Het platform wordt aangeprezen als een direct inzetbare spionagesuite, maar gaat veel verder dan eenvoudige gegevensverzameling en omvat ook actieve monitoring en directe financiële uitbuiting.

De aanbieder onderhoudt speciale Telegram-kanalen voor verkoop, klantenservice en doorlopende updates, waardoor kopers gecentraliseerde toegang krijgen tot een volledig functioneel spyware-ecosysteem. Dit gestroomlijnde distributiemodel verlaagt de drempel aanzienlijk voor cybercriminelen die op zoek zijn naar geavanceerde bewakingsmogelijkheden.

Brede apparaatcompatibiliteit en flexibele implementatie

ZeroDayRAT ondersteunt Android-versies 5 tot en met 16 en iOS-versies tot en met 26, waardoor een breed scala aan apparaten wordt ondersteund. De malware wordt vermoedelijk voornamelijk verspreid via social engineering-campagnes en frauduleuze app-winkels die zijn ontworpen om gebruikers te verleiden tot het installeren van schadelijke applicaties.

Kopers ontvangen een malwarebuilder waarmee op maat gemaakte kwaadaardige binaire bestanden kunnen worden gegenereerd. Deze binaire bestanden worden beheerd via een online controlepaneel dat beheerders op hun eigen servers kunnen installeren, waardoor ze volledige beheersrechten krijgen over geïnfecteerde apparaten.

Uitgebreide apparaatinformatie en locatiebepaling

Na installatie biedt ZeroDayRAT beheerders uitgebreid inzicht in het gecompromitteerde apparaat. Via een zelfgehost beheerpaneel hebben aanvallers toegang tot gedetailleerde informatie zoals het apparaatmodel, de versie van het besturingssysteem, de batterijstatus, simkaartgegevens, providerinformatie, applicatiegebruik, de inhoud van meldingen en voorbeelden van recente sms-berichten. Deze informatie stelt cybercriminelen in staat gedetailleerde slachtofferprofielen op te stellen, inclusief communicatiepatronen en veelgebruikte applicaties.

Het platform registreert ook live GPS-coördinaten en visualiseert deze met Google Maps, terwijl het tevens een historisch overzicht bijhoudt van de bewegingen van het slachtoffer. Deze continue geolocatietracking transformeert het geïnfecteerde apparaat in feite in een continu bewakingsinstrument.

Accountnummering en blootstelling van inloggegevens

Een bijzonder zorgwekkend onderdeel is het paneel 'Accounts', dat alle accounts weergeeft die op het geïnfecteerde apparaat zijn geregistreerd. Dit omvat veelgebruikte diensten zoals:

• Google, WhatsApp, Instagram, Facebook, Telegram
• Amazon, Flipkart, PhonePe, Paytm en Spotify

Ook gekoppelde gebruikersnamen of e-mailadressen worden openbaar gemaakt, waardoor het mogelijk wordt om inloggegevens te verzamelen, identiteitsprofielen op te stellen en potentiële pogingen tot accountovername te ondernemen.

Geavanceerde bewaking en omzeiling van tweefactorauthenticatie

ZeroDayRAT beschikt over een reeks geavanceerde bewakings- en interceptiemogelijkheden. Deze omvatten:

• Toetsenbordregistratie om inloggegevens en privécommunicatie vast te leggen.
• Extractie van sms-berichten, inclusief eenmalige wachtwoorden (OTP's) die worden gebruikt voor het omzeilen van tweefactorauthenticatie.
• Realtime camerastreaming en microfoonactivering voor live audiovisuele monitoring.

Deze functies stellen tegenstanders in staat om directe, interactieve surveillance uit te voeren, waardoor gecompromitteerde apparaten worden omgezet in middelen voor het op afstand verzamelen van inlichtingen.

Geïntegreerde modules voor cryptovaluta- en bankdiefstal

Naast surveillance integreert de malware mechanismen voor financiële diefstal. Een component voor het stelen van cryptovaluta scant op wallet-applicaties zoals MetaMask, Trust Wallet, Binance en Coinbase. Wanneer een slachtoffer een wallet-adres naar het klembord kopieert, vervangt de malware dit door een adres dat door de aanvaller wordt beheerd, waardoor transacties worden omgeleid zonder dat de gebruiker dit merkt.

Een speciaal ontwikkelde module voor bankfraude richt zich verder op digitale betaaldiensten, waaronder Apple Pay, Google Pay, PayPal en PhonePe. PhonePe maakt gebruik van India's Unified Payments Interface (UPI), een protocol dat is ontworpen om interbancaire transacties tussen particulieren en tussen mensen en bedrijven te faciliteren, waardoor het een aantrekkelijk doelwit is voor financieel gemotiveerde criminelen.

Evoluerende mobiele spionagebedreigingen

ZeroDayRAT is een compleet framework voor het compromitteren van mobiele apparaten. Mogelijkheden die voorheen alleen beschikbaar waren via Telegram, zijn nu commercieel verkrijgbaar en vereisten middelen van een staat of de ontwikkeling van specifieke exploits. Eén enkele operator kan via de browser toegang krijgen tot de locatiegegevens, communicatie, financiële gegevens, camerabeelden, microfoonopnames en toetsaanslagen van een slachtoffer.

De malware past in een bredere trend van mobiele dreigingen die gebruikmaken van phishingcampagnes en infiltratie van officiële app-winkels. Aanvallers hebben herhaaldelijk methoden gevonden om de door Apple en Google geïmplementeerde beveiligingsmaatregelen te omzeilen, waarbij ze gebruikers vaak manipuleren om kwaadaardige applicaties te installeren.

Op iOS-apparaten maken campagnes vaak misbruik van de provisioningmechanismen van bedrijven waarmee ze applicaties buiten de officiële App Store kunnen distribueren. Door spywarepakketten te commercialiseren die surveillance- en financiële diefstalfuncties combineren, verlagen cybercriminelen de technische drempels voor minder ervaren cybercriminelen, terwijl ze tegelijkertijd de complexiteit en persistentie van mobielgerichte aanvallen vergroten.

ZeroDayRAT onderstreept een cruciale realiteit: geavanceerde mogelijkheden voor mobiele surveillance en financiële uitbuiting zijn niet langer voorbehouden aan elite-dreigingsgroepen, maar worden steeds toegankelijker binnen het cybercriminele circuit.