Se vende en Telegram como una forma de obtener datos confidenciales

Los investigadores de ciberseguridad han revelado detalles de una nueva plataforma de software espía móvil denominada ZeroDayRAT que se anuncia en Telegram como una forma de obtener datos confidenciales y facilitar la vigilancia en tiempo real en dispositivos Android e iOS.

"El desarrollador gestiona canales dedicados de ventas, atención al cliente y actualizaciones periódicas, lo que ofrece a los compradores un único punto de acceso a un panel antispyware totalmente operativo", declaró Daniel Kelley, investigador de seguridad de iVerify. "La plataforma va más allá de la recopilación de datos tradicional y abarca la vigilancia en tiempo real y el robo financiero directo".

ZeroDayRAT está diseñado para ser compatible con las versiones de Android 5 a 16 y de iOS hasta la 26. Se estima que el malware se distribuye mediante ingeniería social o falsas plataformas de apps. Los binarios maliciosos se generan mediante un compilador que se proporciona a los compradores, junto con un panel en línea que pueden configurar en su propio servidor.

Una vez que el malware infecta un dispositivo, el operador puede ver todos los detalles, como el modelo, la ubicación, el sistema operativo, el estado de la batería, la tarjeta SIM, los datos del operador, el uso de las aplicaciones, las notificaciones y una vista previa de los SMS recientes, a través de un panel alojado en su propio servidor. Esta información permite al atacante perfilar a la víctima y obtener más información sobre con quién habla y las aplicaciones que usa con más frecuencia.

El panel también extrae sus coordenadas GPS actuales y las traza en Google Maps, junto con el historial de todos los lugares en los que han estado a lo largo del tiempo, convirtiéndolo efectivamente en software espía.

"Uno de los paneles más problemáticos es la pestaña de cuentas", añadió Kelley. "Se enumeran todas las cuentas registradas en el dispositivo: Google, WhatsApp, Instagram, Facebook, Telegram, Amazon, Flipkart, PhonePe, Paytm, Spotify y más, cada una con su nombre de usuario o correo electrónico asociado".

Algunas de las otras capacidades de ZeroDayRAT incluyen el registro de pulsaciones de teclas, la recopilación de mensajes SMS (incluidas contraseñas de un solo uso, OTP) para vencer la autenticación de dos factores) y también permiten operaciones prácticas, como la activación de la vigilancia en tiempo real mediante transmisión de cámara en vivo y una transmisión de micrófono que permite al adversario monitorear de forma remota a una víctima.

Para permitir el robo financiero, el malware incorpora un componente ladrón que busca aplicaciones de billetera como MetaMask, Trust Wallet, Binance y Coinbase, y sustituye las direcciones de billetera copiadas al portapapeles para redirigir las transacciones a una billetera bajo el control del atacante.

También existe un módulo ladrón de bancos que ataca plataformas de billetera móvil en línea como Apple Pay, Google Pay, PayPal, junto con PhonePe, una aplicación de pagos digitales india que permite transferencias de dinero instantáneas con la Interfaz de Pagos Unificada (UPI), un protocolo para facilitar las transacciones entre bancos entre pares y de persona a comerciante.

"En conjunto, se trata de un completo conjunto de herramientas para la vulneración de dispositivos móviles, del tipo que antes requería la inversión de un estado o el desarrollo de un exploit a medida, y que ahora se vende en Telegram", declaró Kelley. "Un solo comprador obtiene acceso total a la ubicación, los mensajes, las finanzas, la cámara, el micrófono y las pulsaciones de teclas del objetivo desde una pestaña del navegador. La compatibilidad multiplataforma y el desarrollo activo lo convierten en una amenaza creciente tanto para particulares como para organizaciones".

El malware ZeroDayRAT es similar a muchos otros que han atacado a usuarios de dispositivos móviles, ya sea mediante phishing o infiltrándose en las tiendas oficiales de aplicaciones. En los últimos años, los cibercriminales han encontrado repetidamente diversas maneras de eludir las protecciones de seguridad implementadas por Apple y Google para engañar a los usuarios y que instalen aplicaciones maliciosas.

Los ataques dirigidos al sistema operativo iOS de Apple suelen aprovechar la capacidad de aprovisionamiento empresarial que permite a las organizaciones instalar aplicaciones sin necesidad de publicarlas en la App Store. Al comercializar herramientas que combinan spyware, vigilancia y capacidades de robo de información, reducen aún más la barrera de entrada para los hackers menos experimentados. También ponen de relieve la creciente sofisticación y persistencia de las ciberamenazas dirigidas a dispositivos móviles.