Mobilna vohunska programska oprema ZeroDayRAT

Raziskovalci kibernetske varnosti so odkrili sofisticirano platformo za mobilno vohunsko programsko opremo, znano kot ZeroDayRAT, ki se trenutno na Telegramu oglašuje kot celovita rešitev za pridobivanje občutljivih podatkov in izvajanje nadzora v realnem času na napravah Android in iOS. Platforma, ki se trži kot vohunski paket, pripravljen za uporabo, sega daleč preko osnovnega zbiranja podatkov in se podaja v aktivno spremljanje in neposredno finančno izkoriščanje.

Operater vzdržuje namenske Telegram kanale za prodajo, pomoč strankam in stalne posodobitve, s čimer kupcem zagotavlja centraliziran dostop do popolnoma delujočega ekosistema vohunske programske opreme. Ta poenostavljen distribucijski model znatno znižuje vstopne ovire za kibernetske kriminalce, ki iščejo napredne nadzorne zmogljivosti.

Široka združljivost naprav in prilagodljiva namestitev

ZeroDayRAT podpira različice Androida od 5 do 16 in različice iOS-a do 26, kar zagotavlja široko pokritost naprav. Domneva se, da se zlonamerna programska oprema širi predvsem prek kampanj socialnega inženiringa in goljufivih tržnic aplikacij, katerih namen je zavajati uporabnike v namestitev zlonamernih aplikacij.

Kupci prejmejo program za ustvarjanje zlonamerne programske opreme, ki ustvari prilagojene zlonamerne binarne datoteke. Te binarne datoteke se upravljajo prek spletne nadzorne plošče, ki jo lahko operaterji namestijo na svoje strežnike, kar jim omogoča popoln skrbniški nadzor nad okuženimi napravami.

Celovita inteligenca naprav in sledenje lokacije

Ko je ZeroDayRAT nameščen, operaterjem omogoča obsežen vpogled v ogroženo napravo. Prek lastne nadzorne plošče lahko napadalci dostopajo do podrobnih informacij, kot so model naprave, različica operacijskega sistema, stanje baterije, podatki o kartici SIM, podatki o operaterju, uporaba aplikacij, vsebina obvestil in predogledi nedavnih sporočil SMS. Ta inteligenca omogoča akterjem grožnje, da ustvarijo podrobne profile žrtev, vključno z vzorci komunikacije in pogosto uporabljenimi aplikacijami.

Platforma zajema tudi GPS koordinate v živo in jih prikazuje na zemljevidu z Google Zemljevidi, hkrati pa vzdržuje zgodovinski dnevnik gibanja žrtve. To vztrajno sledenje geolokaciji učinkovito spremeni okuženo napravo v orodje za neprekinjen nadzor.

Štetje računov in izpostavljenost poverilnic

Posebej zaskrbljujoča je plošča »Računi«, ki našteva vse račune, registrirane na okuženi napravi. To vključuje pogosto uporabljene storitve, kot so:

• Google, WhatsApp, Instagram, Facebook, Telegram
• Amazon, Flipkart, PhonePe, Paytm in Spotify

Razkrita so tudi povezana uporabniška imena ali e-poštni naslovi, kar omogoča pridobivanje poverilnic, profiliranje identitete in morebitne poskuse prevzema računa.

Napredni nadzor in obhod dvofaktorske avtentikacije

ZeroDayRAT vključuje vrsto vsiljivih zmogljivosti nadzora in prestrezanja. Te vključujejo:

• Beleženje pritiskov tipk za zajemanje poverilnic in zasebnih komunikacij
• Pridobivanje SMS sporočil, vključno z enkratnimi gesli (OTP), ki se uporabljajo za obhod dvofaktorske avtentikacije
• Pretakanje s kamere v realnem času in aktivacija mikrofona za avdiovizualni nadzor v živo

Te funkcije nasprotnikom omogočajo izvajanje interaktivnega nadzora, s čimer ogrožene naprave spremenijo v sredstva za oddaljeno zbiranje obveščevalnih podatkov.

Integrirani moduli za kriptovalute in bančno krajo

Poleg nadzora zlonamerna programska oprema vključuje mehanizme finančne kraje. Komponenta za krajo kriptovalut skenira aplikacije denarnic, kot so MetaMask, Trust Wallet, Binance in Coinbase. Ko žrtev kopira naslov denarnice v odložišče, ga zlonamerna programska oprema nadomesti z naslovom, ki ga nadzoruje napadalec, in preusmeri transakcije brez uporabnikove vednosti.

Namenski modul za krajo bančnih podatkov cilja tudi na digitalne plačilne storitve, vključno z Apple Pay, Google Pay, PayPal in PhonePe. PhonePe izkorišča indijski Unified Payments Interface (UPI), protokol, zasnovan za omogočanje medbančnih transakcij med posamezniki in med osebo in trgovcem, zaradi česar je privlačna tarča za finančno motivirane akterje.

Razvoj groženj mobilnega vohunjenja

ZeroDayRAT predstavlja celovit ogrodje za mobilne vdore. Zmogljivosti, ki so prej zahtevale vire posameznih držav ali razvoj izkoriščanja po meri, so zdaj komercialno dostopne prek Telegrama. En sam operater lahko prek brskalnika dostopa do podatkov o lokaciji žrtve, komunikacij, finančnih računov, posnetkov s kamere, vnosa iz mikrofona in pritiskov tipk.

Zlonamerna programska oprema se ujema s širšim trendom mobilnih groženj, ki izkoriščajo kampanje lažnega predstavljanja in infiltracijo v uradne tržnice aplikacij. Napadalci so večkrat odkrili metode za izogibanje zaščitnim ukrepom, ki jih izvajata Apple in Google, pri čemer pogosto manipulirajo z uporabniki, da namestijo zlonamerne aplikacije.

Na napravah iOS kampanje pogosto zlorabljajo mehanizme za zagotavljanje storitev za podjetja, ki organizacijam omogočajo distribucijo aplikacij zunaj uradne trgovine App Store. S komercializacijo paketov vohunske programske opreme, ki združujejo funkcije nadzora in finančne kraje, akterji grožnje še naprej zmanjšujejo tehnične ovire za manj izkušene kibernetske kriminalce, hkrati pa krepijo prefinjenost in vztrajnost napadov, osredotočenih na mobilne naprave.

ZeroDayRAT poudarja ključno dejstvo: napredne zmogljivosti mobilnega nadzora in finančnega izkoriščanja niso več omejene na elitne skupine groženj, temveč so vse bolj dostopne znotraj kibernetske kriminalne podzemlja.