ZeroDayRAT: die neue Ära der mobilen Spyware, die Ihr Telefon in eine Kamera, Mikrofon und Betrugswaffe verwandelt

Details über eine neue mobile Spyware-Plattform namens ZeroDayRAT sind vor kurzem auf Licht gekommen, die offen auf Telegram-Kanäle als ein fertiges Werkzeug zum Spionieren von Android und iPhone-Handys vermarktet wird. Sicherheitsforscher haben die Anzeigen und Produktoperation verfolgt: Entwickler verkaufen nicht nur die schädliche binäre, sondern bieten auch einen Builder und ein Web-Panel, das der Käufer auf seinem eigenen Server bereitstellen kann, sowie Support und regelmäßige Updates. In der Praxis ist es eine Suite, die ein kompromittiertes Mobilgerät zu einer kontinuierlichen Datenquelle und einer von einem Browser steuerbaren Fernkamera und Mikrofon macht. Für eine technische Erklärung und vollständige Analyse siehe iVerifys Bericht, der die Bedrohung dokumentiert: iVerify - Aufbrechen ZeroDayRAT.

ZeroDayRAT, nach der verfügbaren Analyse, unterstützt eine breite Palette von Versionen von Android und iOS, und seine häufigsten Input-Vektor sind nicht ausgefeilte Exploits, sondern Social Engineering-Taktik: falsche Anwendungen in unoffiziellen Geschäften, irreführende Download-Seiten, oder Installateure, die als legitime Nutzungen. Sobald die Software installiert ist, meldet die Angreifer-Panel vollständige Informationen über das Gerät - Modell, Betriebssystem, Batteriestatus, Bediener und SIM-Details - und bietet Voransichten von Nachrichten, Anwendung und andere Metadaten, die ein detailliertes Profil des Opfers ermöglichen.

Neben der Aufnahme von Metadaten, ZeroDayRAT enthält Echtzeitüberwachung intrusive Funktionen: GPS-Standort auf Karten, Ortsgeschichte, Kamera und Mikrofonübertragung und Schlüssellogbuch. Diese Kombination macht das Telefon zu einem dauerhaften Spionage-Tool, nicht nur ein Vektor für die Diebstahl von Anmeldeinformationen. Das Panel listet auch die auf dem Gerät aufgezeichneten Konten - Post und soziale Netzwerke - was es dem Angreifer erleichtert, wertvolle Dienste zu identifizieren, um die gestohlenen Informationen weiter zu nutzen oder zu monetarisieren.

Das Leistungsspektrum umfasst auch Komponenten für Finanzbetrug. Ein Modul erfasst Portemonnaieanwendungen und ändert die kopierten Adressen an die Zwischenablage, um Übertragungen auf Konten, die vom Angreifer kontrolliert werden, umzuleiten. Ein weiteres Modul konzentriert sich auf mobile Zahlungsdienste und Banken, auf beliebte Plattformen, einschließlich lokale Anwendungen mit großer Annahme in bestimmten Regionen. Im Fall von Indien, zum Beispiel, wissen Forscher, dass Malware versucht, UPI-bezogene Betrügerei - die Instant-Zahlungsinfrastruktur - zu ermöglichen, um zu verstehen, dass System, die NPCI-Dokumentation über UPI konsultiert werden kann: NPCI - UPI.

Im aktuellen kriminellen Ökosystem entsteht ZeroDayRAT nicht isoliert; es wird in einer Welle von Malware-Familien und Kampagnen, die verschiedene Distributionsrouten ausgenutzt haben und legitime Dienste missbraucht haben, um Payloads zu beherbergen oder zu verbreiten. In den letzten Wochen wurde beispielsweise eine Kampagne veröffentlicht, die Hugging Face verwendet, um schädliche Ladegeräte zu verteilen, die dann eine APK heruntergeladen haben, um Zugänglichkeitsgenehmigungen für die Steuerung des Gerätes zu verlangen. Dieser Fall und seine Methodik wurden von Bitdefender beschrieben: Bitdefender - Android RAT Kampagne.

Die Verbreitung von Fernsteuerungstools und Trojan für Android hat seine Methoden gewachsen und diversifiziert. Familien wie Arsink haben Cloud-Services und Messaging-Plattformen für Befehl und Kontrolle kombiniert, während andere Trojaner es geschafft haben, in offizielle Läden oder in verifizierten Anzeigen durch Maldumping-Kampagnen einzuschleichen. Zimperium und andere Labore haben Varianten mit Google Apps Script, Firebase und Telegram-Kanälen dokumentiert, um Exfiltration und Remote-Administration zu orchestrieren: Zimperium - Arsink.

Die Tatsache, dass komplette Intrusion Kits als Produkt verkauft werden, erhöht ein soziales und technisches Problem. Vorher war ein gewisses Maß an Raffinesse, das sich auf Zero-Day-Ausbeuten oder benutzerdefinierte Infrastruktur konzentrierte, notwendig, um eine dauerhafte Fernüberwachung zu erreichen; heute kann ein Käufer mit bescheidenen Ressourcen eine Lösung erwerben, die Spionage, Diebstahl von Anmeldeinformationen und Fähigkeit, Geld abzuwenden. Diese Änderung reduziert die Eintrittssperre und multipliziert die Akteure mit der Fähigkeit, Schäden zu verursachen.

Das Phänomen ist nicht auf traditionelle Spyware beschränkt: Kampagnen haben sich herausgestellt, dass die Verwendung von inokulierten aussehenden Anwendungen als Bank Trojan Installateure, Netzwerke von falschen Remittancen, die Muskeln rekrutieren, und NFC-Tools, die Klon oder Relais-Zahlungstransaktionen mit dem Telefon ermöglichen. Aktuelle Berichte von Unternehmen wie Group-IB und CTM360 beschreiben, wie Angreifer Anwendungen und Dienstleistungen vermarktet haben, um Zahlungsbetrug und Gelderfassung zu erleichtern, wobei einige Telegram-Märkte Tausende von Teilnehmern, die an solchen Lösungen interessiert sind, konzentrieren: Gruppen-IB - Ghost Tapped und CTM360 - ShadowRemit.

Es wurden auch Fälle erkannt, in denen offensichtlich legitime Anwendungen, die in offizielle Stores hochgeladen wurden, als Einstiegstüren für Bank Malware gehandelt haben, mit Tausenden von Downloads, bevor sie entfernt werden. Diese Vorfälle betonen, dass es nicht genug ist, nur Quellen außerhalb der offiziellen Ökosysteme zu betrachten: die Angreifer nutzen Vertrauen und die Verteilungskette. Beispiele und Analyse von böswilligen Anwendungen in den Läden oder die Beantwortung von Play Store-Seiten wurden von mehreren Sicherheitsfirmen veröffentlicht.

Angesichts dieses Szenarios liegt der präventive Teil sowohl bei Herstellern als auch bei App-Stores und dem Anwender. Halten Sie das Betriebssystem und die Anwendungen auf dem neuesten Stand, vermeiden Sie die Installation von APKS aus unified Ursprüngen, überprüfen Sie die Berechtigungen, die Sie eine App anfordern, und misstrauen Nachrichten, die Sie drängen, "Updates" außerhalb der offiziellen Kanäle zu installieren, bleibt grundlegend. Für hochrisikoreiche Umgebungen wird empfohlen, robustere Authentifizierungsmechanismen als SMS - wie z.B. physikalische Schlüssel oder Authentifizierungsanwendungen - zu verwenden und ungewöhnliche Aktivitätsalarme auf sensiblen Konten zu aktivieren. Apple dokumentiert, wie das Geschäft funktioniert und warum es ein Risikovektor sein kann, wenn es missbraucht wird: Apple - Profile auf Geräten installieren. Google bietet auch Anleitungen, wie Play Protect funktioniert und wie man Risiken auf Android reduziert: Google Play Protect.

Die technologische und rechtliche Reaktion muss sich auch entwickeln. Die von Antwortteams veröffentlichten technischen Indikatoren und Befehlstabellen können dazu beitragen, bekannte Artefakte zu erkennen, aber die Kriminalitätsökonomie, die jetzt von Geschäften in Telegram und anderen Plattformen ermöglicht wird, erfordert koordinierte Maßnahmen zwischen Cloud-Dienstleistern, Betriebssystemherstellern, Messaging-Plattformen und Sicherheitskräften. Unabhängige öffentliche Berichte und Analysen, wie iVerify, Bitdefender oder Group-IB, sind Schlüsselelemente für Administratoren und Journalisten, um die Bedrohung zu verstehen und zu verbreiten: iVerify, Das ist nicht gut., Gruppe.

Wenn Sie ein Benutzer sind, ist die praktische Empfehlung nicht, Ihren Wächter zu senken: Überprüfen Sie die Quelle der Anwendungen, Misstrauen Links durch Messaging erhalten, die Software installieren, regelmäßig überprüfen Sie die Liste der installierten Anwendungen und die erteilten Genehmigungen, und verwenden Sie zusätzlichen Schutz für Ihre Finanzkonten. Wenn Sie vermuten, dass ein Gerät beeinträchtigt werden kann, ist es ratsam, es von sensiblen Netzwerken zu isolieren, Passwörter von einem sauberen Gerät zu ändern und Hilfe von Fachleuten oder Sicherheitsanbietern zu suchen. Berichte, die bestimmte Fälle und Techniken dokumentieren, können Ihnen helfen, Muster zu identifizieren und genauere Abwehrmaßnahmen zu verabschieden; für zusätzliche Messwerte zu aktuellen Kampagnen können Sie Analysen wie jene von Zimperium, WeLiveSecurity und AdEx - Triada.

Die Schlussfolgerung ist klar: Die mobile Bedrohung ist nicht mehr nur eine Angelegenheit isolierter invasiver Anwendungen, sondern ein Werkzeugmarkt, in dem Überwachung, Diebstahl und Betrug verkauft werden. Das Verständnis, wie diese Plattformen funktionieren und grundlegende digitale Hygienemaßnahmen implementieren, ist heute die beste Verteidigung für Nutzer und Organisationen.