ZeroDayRAT Mobil Spionprogram

Cybersäkerhetsforskare har upptäckt en sofistikerad mobil spionprogramsplattform som kallas ZeroDayRAT, som för närvarande marknadsförs på Telegram som en omfattande lösning för att extrahera känslig data och utföra realtidsövervakning på både Android- och iOS-enheter. Plattformen marknadsförs som en färdig spionprogramsvit, och sträcker sig långt utöver grundläggande datainsamling och vågar sig in i aktiv övervakning och direkt ekonomisk exploatering.

Operatören upprätthåller dedikerade Telegram-kanaler för försäljning, kundsupport och kontinuerliga uppdateringar, vilket ger köpare centraliserad tillgång till ett fullt fungerande spionprogramsekosystem. Denna strömlinjeformade distributionsmodell sänker avsevärt inträdesbarriären för cyberbrottslingar som söker avancerade övervakningsfunktioner.

Bred enhetskompatibilitet och flexibel implementering

ZeroDayRAT stöder Android-versionerna 5 till 16 och iOS-versioner upp till 26, vilket säkerställer bred enhetstäckning. Skadlig programvara tros distribueras främst genom sociala ingenjörskampanjer och bedrägliga appmarknadsplatser som är utformade för att lura användare att installera skadliga applikationer.

Köpare får en skadlig programvara som genererar anpassade skadliga binärfiler. Dessa binärfiler hanteras via en online-kontrollpanel som operatörer kan driftsätta på sina egna servrar, vilket ger dem fullständig administrativ kontroll över infekterade enheter.

Omfattande enhetsinformation och platsspårning

När ZeroDayRAT är installerat ger det operatörer omfattande insyn i den komprometterade enheten. Genom en självhostad hanteringspanel kan angripare få tillgång till detaljerad information som enhetsmodell, operativsystemversion, batteristatus, SIM-data, operatörsinformation, applikationsanvändning, aviseringsinnehåll och förhandsgranskningar av senaste SMS-meddelanden. Denna information gör det möjligt för hotaktörer att konstruera detaljerade offerprofiler, inklusive kommunikationsmönster och ofta använda applikationer.

Plattformen samlar även in GPS-koordinater i realtid och kartlägger dem med hjälp av Google Maps, samtidigt som den för en historisk logg över offrets rörelser. Denna ihållande geolokaliseringsspårning omvandlar effektivt den infekterade enheten till ett kontinuerligt övervakningsverktyg.

Kontouppräkning och exponering av autentiseringsuppgifter

En särskilt oroande funktion är panelen "Konton", som listar alla konton som är registrerade på den infekterade enheten. Detta inkluderar allmänt använda tjänster som:

• Google, WhatsApp, Instagram, Facebook, Telegram
• Amazon, Flipkart, PhonePe, Paytm och Spotify

Tillhörande användarnamn eller e-postadresser exponeras också, vilket möjliggör insamling av autentiseringsuppgifter, identitetsprofilering och potentiella försök till kontoövertagande.

Avancerad övervakning och kringgående av tvåfaktorsautentisering

ZeroDayRAT innehåller en rad intrusiva övervaknings- och avlyssningsfunktioner. Dessa inkluderar:

• Tangenttryckningsloggning för att samla in inloggningsuppgifter och privat kommunikation
• Extrahering av SMS-meddelanden, inklusive engångslösenord (OTP) som används för att kringgå tvåfaktorsautentisering
• Kameraströmning i realtid och mikrofonaktivering för live audiovisuell övervakning

Dessa funktioner gör det möjligt för motståndare att utföra praktisk, interaktiv övervakning och förvandla komprometterade enheter till resurser för fjärrinsamling av underrättelser.

Integrerade kryptovaluta- och bankstöldmoduler

Utöver övervakning integrerar den skadliga programvaran mekanismer för ekonomisk stöld. En kryptovalutastöldkomponent söker efter plånboksapplikationer som MetaMask, Trust Wallet, Binance och Coinbase. När ett offer kopierar en plånboksadress till urklippet ersätter den skadliga programvaran den med en adress som kontrolleras av angriparen, vilket omdirigerar transaktioner utan användarens medvetenhet.

En dedikerad bankstöldmodul riktar sig vidare mot digitala betalningstjänster, inklusive Apple Pay, Google Pay, PayPal och PhonePe. PhonePe utnyttjar Indiens Unified Payments Interface (UPI), ett protokoll utformat för att underlätta peer-to-peer-transaktioner mellan banker och mellan personer, vilket gör det till ett attraktivt mål för ekonomiskt motiverade aktörer.

Utvecklande hot mot mobilspionage

ZeroDayRAT representerar ett komplett paketerat ramverk för mobila intrång, funktioner som tidigare krävde nationella resurser eller anpassad utveckling av exploater är nu kommersiellt tillgängliga via Telegram. En enda operatör kan få webbläsarbaserad åtkomst till ett offers positionsdata, kommunikation, finansiella konton, kameraflöde, mikrofoningång och tangenttryckningar.

Skadlig programvara överensstämmer med en bredare trend av mobila hot som utnyttjar nätfiskekampanjer och infiltration av officiella appmarknadsplatser. Angripare har upprepade gånger identifierat metoder för att kringgå skyddsåtgärder som implementerats av Apple och Google, och manipulerar ofta användare till att installera skadliga applikationer.

På iOS-enheter missbrukar kampanjer ofta företagsprovisioneringsmekanismer som gör det möjligt för organisationer att distribuera applikationer utanför den officiella App Store. Genom att kommersialisera spionprogrampaket som kombinerar övervakning och funktioner för ekonomisk stöld fortsätter hotaktörer att minska tekniska hinder för mindre erfarna cyberbrottslingar samtidigt som de förstärker sofistikeringen och ihålligheten hos mobilfokuserade attacker.

ZeroDayRAT understryker en kritisk verklighet: avancerad mobil övervakning och ekonomisk exploatering är inte längre begränsad till elitgrupper utan blir alltmer tillgänglig inom den underjordiska cyberbrottsligheten.