Mobilný špionážny softvér ZeroDayRAT

Výskumníci v oblasti kybernetickej bezpečnosti objavili sofistikovanú platformu mobilného spywaru známu ako ZeroDayRAT, ktorá sa v súčasnosti propaguje na Telegrame ako komplexné riešenie na extrakciu citlivých údajov a vykonávanie sledovania v reálnom čase na zariadeniach so systémom Android aj iOS. Platforma, ktorá sa predáva ako špionážny balík pripravený na nasadenie, ďaleko presahuje rámec základného zberu údajov a púšťa sa do aktívneho monitorovania a priameho finančného zneužívania.

Prevádzkovateľ udržiava vyhradené telegramové kanály pre predaj, zákaznícku podporu a priebežné aktualizácie, čím poskytuje kupujúcim centralizovaný prístup k plne funkčnému ekosystému špionážneho softvéru. Tento zjednodušený distribučný model výrazne znižuje vstupnú bariéru pre kyberzločincov, ktorí hľadajú pokročilé možnosti sledovania.

Široká kompatibilita zariadení a flexibilné nasadenie

ZeroDayRAT podporuje Android verzií 5 až 16 a iOS verzií až do 26, čím zabezpečuje široké pokrytie zariadení. Predpokladá sa, že malvér sa šíri predovšetkým prostredníctvom kampaní sociálneho inžinierstva a podvodných trhovísk s aplikáciami, ktorých cieľom je oklamať používateľov a prinútiť ich nainštalovať škodlivé aplikácie.

Kupujúci dostanú nástroj na tvorbu malvéru, ktorý generuje prispôsobené škodlivé binárne súbory. Tieto binárne súbory sú spravované prostredníctvom online ovládacieho panela, ktorý môžu prevádzkovatelia nasadiť na svoje vlastné servery, čo im poskytuje plnú administratívnu kontrolu nad infikovanými zariadeniami.

Komplexná inteligencia zariadení a sledovanie polohy

Po nainštalovaní poskytuje ZeroDayRAT operátorom rozsiahly prehľad o napadnutom zariadení. Prostredníctvom samostatne hostovaného panela správy majú útočníci prístup k podrobným informáciám, ako je model zariadenia, verzia operačného systému, stav batérie, údaje o SIM karte, informácie o operátorovi, používanie aplikácií, obsah upozornení a ukážky nedávnych SMS správ. Tieto informácie umožňujú aktérom útokov vytvárať podrobné profily obetí vrátane komunikačných vzorcov a často používaných aplikácií.

Platforma tiež zaznamenáva aktuálne GPS súradnice a mapuje ich pomocou služby Google Maps, pričom zároveň uchováva historický záznam o pohybe obete. Toto trvalé sledovanie geolokácie efektívne transformuje infikované zariadenie na nástroj na nepretržité sledovanie.

Výpočet účtov a expozícia poverení

Obzvlášť znepokojujúcou funkciou je panel „Účty“, ktorý vymenúva všetky účty registrované na infikovanom zariadení. Patria sem bežne používané služby, ako napríklad:

• Google, WhatsApp, Instagram, Facebook, Telegram
• Amazon, Flipkart, PhonePe, Paytm a Spotify

Zverejňujú sa aj priradené používateľské mená alebo e-mailové adresy, čo umožňuje získavanie poverení, profilovanie identity a potenciálne pokusy o prevzatie kontroly nad účtom.

Pokročilý dohľad a obídenie dvojfaktorového overovania

ZeroDayRAT obsahuje celý rad funkcií rušivého sledovania a odpočúvania. Patria sem:

• Zaznamenávanie stlačení klávesov na zachytenie poverení a súkromnej komunikácie
• Extrakcia SMS správ vrátane jednorazových hesiel (OTP) používaných na obídenie dvojfaktorového overenia
• Streamovanie z kamery v reálnom čase a aktivácia mikrofónu pre živé audiovizuálne monitorovanie

Tieto funkcie umožňujú útočníkom vykonávať praktický, interaktívny dohľad a premieňať napadnuté zariadenia na prostriedky na diaľkové zhromažďovanie spravodajských informácií.

Integrované moduly pre kryptomeny a bankové krádeže

Okrem sledovania malvér integruje mechanizmy finančnej krádeže. Komponenta krádeže kryptomien vyhľadáva aplikácie peňaženiek, ako sú MetaMask, Trust Wallet, Binance a Coinbase. Keď obeť skopíruje adresu peňaženky do schránky, malvér ju nahradí adresou, ktorú kontroluje útočník, a presmeruje transakcie bez vedomia používateľa.

Špecializovaný modul bankového stealera sa ďalej zameriava na digitálne platobné služby vrátane Apple Pay, Google Pay, PayPal a PhonePe. PhonePe využíva indické Unified Payments Interface (UPI), protokol určený na uľahčenie medzibankových transakcií typu peer-to-peer a medzi osobou a obchodníkom, vďaka čomu je atraktívnym cieľom pre finančne motivovaných aktérov.

Vyvíjajúce sa hrozby mobilnej špionáže

ZeroDayRAT predstavuje plne zabalený rámec pre mobilné kompromitácie. Funkcie, ktoré predtým vyžadovali zdroje jednotlivých štátov alebo vývoj vlastných exploitov, sú teraz komerčne dostupné prostredníctvom Telegramu. Jeden operátor môže získať prístup k údajom o polohe obete, jej komunikácii, finančným účtom, obrazu z kamery, vstupu z mikrofónu a stlačeniam klávesov prostredníctvom prehliadača.

Tento malvér je v súlade so širším trendom mobilných hrozieb, ktoré zneužívajú phishingové kampane a infiltráciu oficiálnych trhovísk s aplikáciami. Útočníci opakovane identifikovali metódy na obchádzanie bezpečnostných opatrení zavedených spoločnosťami Apple a Google, pričom často manipulujú s používateľmi, aby si nainštalovali škodlivé aplikácie.

Na zariadeniach so systémom iOS kampane často zneužívajú mechanizmy podnikového poskytovania, ktoré organizáciám umožňujú distribuovať aplikácie mimo oficiálneho obchodu App Store. Komercializáciou balíkov špionážneho softvéru, ktoré kombinujú funkcie sledovania a finančnej krádeže, útočníci naďalej znižujú technické bariéry pre menej skúsených kyberzločincov a zároveň zosilňujú sofistikovanosť a pretrvávanie útokov zameraných na mobilné zariadenia.

ZeroDayRAT podčiarkuje kritickú realitu: pokročilé možnosti mobilného dohľadu a finančného zneužívania už nie sú obmedzené len na elitné skupiny hrozby, ale sú čoraz viac dostupné v rámci kyberkriminálneho undergroundu.