ZeroDayRAT: malware per accesso completo a iOS e Android

I ricercatori di iVerify hanno scoperto una nuova piattaforma spyware venduta su Telegram. Si chiama ZeroDayRAT e permette l’accesso remoto ai dispositivi con Android (dalla versione 5) e iOS (fino alla versione 26). È un pacchetto completo, quindi i cybercriminali non devono avere particolare competenze tecniche. Un pannello dedicato consente di gestire gli attacchi.

Descrizione di ZeroDayRAT

L’infezione iniziale viene ottenuta tramite smishing, phishing, app store fasulli e messaggi WhatsApp o Telegram. I cybercriminali devono solo convincere l’utente ad installare un file APK per Android o un’app per iOS. Il malware comunica quindi con ZeroDayRAT e invia numerose informazioni sul dispositivo: modello, numero di telefono, paese, stato (bloccato/sbloccato), livello della batteria, versione del sistema operativo, uso delle app e messaggi recenti.

L’interfaccia ha suddivisa in diverse schede. Una mostra la posizione geografica del dispositivo in tempo reale sulla mappa. I cybercriminali possono inoltre vedere le notifiche di Android e delle app, tutti gli account dell’utente (username e password), l’elenco dei contatti, i messaggi di WhatsApp, gli SMS e le app installate. Questi dati consentono di prendere il controllo degli account e intercettare i codici OTP dell’autenticazione in due fattori.

ZeroDayRAT offre ovviamente funzionalità più avanzate. Permette di attivare fotocamera/microfoni e registrare lo schermo, quindi è uno spyware a tutti gli effetti. C’è inoltre un keylogger che cattura i tasti premuti e le gesture. Il cybercriminale può anche vedere lo schermo del dispositivo in tempo reale.

Una scheda è dedicata al furto di criptovalute e dell’account bancario. Nel primo caso viene effettuata la scansione del dispositivo per cercare le app più note e intercettare gli indirizzi dei wallet (sostituiti con quelli dei wallet gestiti dai cybercriminali). Nel secondo caso vengono catturare le credenziali di accesso al conto corrente attraverso una schermata di login fasulla.

Gli utenti non devono mai cliccare sui link ricevuti (nemmeno da amici o familiari). Alcune categorie di persone, come giornalisti e politici, dovrebbero attivare le funzionalità Lockdown Mode su iOS e Advanced Protection su Android.