ZeroDayRAT

ZeroDayRAT es una plataforma de malware como servicio (MaaS) de tipo troyano de acceso remoto (RAT) diseñada específicamente para dispositivos móviles Android e iOS, que combina capacidades avanzadas de vigilancia en tiempo real con módulos especializados para el robo financiero. Comercializado abiertamente a través de canales de Telegram desde febrero de 2026, este software malicioso permite a atacantes con pocos o ningún conocimiento técnico desplegar campañas de smishing para infectar dispositivos víctima. Una vez instalado, el malware establece comunicación con un panel de control web centralizado que otorga al operador control total sobre el dispositivo comprometido, incluyendo la activación remota de la cámara y el micrófono para vigilancia ambiental, el rastreo de ubicación GPS en tiempo real, la grabación de pantalla en vivo y el registro de pulsaciones de teclas (keylogging).

El malware incorpora módulos de monetización que escanean el dispositivo en busca de aplicaciones de criptomonedas como MetaMask, Trust Wallet, Binance y Coinbase, empleando técnicas de inyección en el portapapeles para reemplazar las direcciones de billetera copiadas por las controladas por el atacante, redirigiendo así las transacciones. Adicionalmente, ZeroDayRAT realiza ataques de superposición (overlay) sobre sistemas de pago como Apple Pay, Google Pay y PayPal para capturar credenciales de inicio de sesión, e intercepta códigos de autenticación de dos factores (OTP) enviados por SMS para eludir medidas de seguridad adicionales, todo ello presentado a través de una interfaz de panel intuitiva que muestra información detallada del dispositivo como el modelo, operador, estado de la batería y aplicaciones más utilizadas.

A pesar de su aparente sofisticación, los investigadores de Cyberthint identificaron inconsistencias técnicas que plantean dudas sobre la legitimidad de ZeroDayRAT como amenaza completamente funcional. Las capturas de pantalla promocionales mostraban indicios de haber sido generadas con herramientas de inteligencia artificial, incluyendo una pestaña del navegador que hacía referencia a la creación de direcciones de billetera USDT y direcciones de criptomonedas estáticas que parecían ser datos de muestra. Sin embargo, el hecho de que el vendedor acepte utilizar servicios de depósito en garantía (escrow) en foros de cibercrimen establecidos como XSS Forum sugiere confianza en la funcionalidad del producto, dejando abierta la posibilidad de que ZeroDayRAT sea una amenaza activa y en evolución, o una oferta sobrevalorada diseñada para atraer compradores en el mercado subterráneo.

Funcionamiento

ZeroDayRAT es una plataforma de malware como servicio (MaaS) de tipo troyano de acceso remoto (RAT) diseñada específicamente para dispositivos móviles Android e iOS, que combina capacidades avanzadas de vigilancia en tiempo real con módulos especializados para el robo financiero . Comercializado abiertamente a través de canales de Telegram desde febrero de 2026, este software malicioso permite a atacantes con pocos o ningún conocimiento técnico desplegar campañas de smishing para infectar dispositivos víctima . Una vez instalado, el malware establece comunicación con un panel de control web centralizado que otorga al operador control total sobre el dispositivo comprometido, incluyendo la activación remota de la cámara y el micrófono para vigilancia ambiental, el rastreo de ubicación GPS en tiempo real, la grabación de pantalla en vivo y el registro de pulsaciones de teclas (keylogging) .

El malware incorpora módulos de monetización que escanean el dispositivo en busca de aplicaciones de criptomonedas como MetaMask, Trust Wallet, Binance y Coinbase, empleando técnicas de inyección en el portapapeles para reemplazar las direcciones de billetera copiadas por las controladas por el atacante, redirigiendo así las transacciones . Adicionalmente, ZeroDayRAT realiza ataques de superposición (overlay) sobre sistemas de pago como Apple Pay, Google Pay y PayPal para capturar credenciales de inicio de sesión, e intercepta códigos de autenticación de dos factores (OTP) enviados por SMS para eludir medidas de seguridad adicionales, todo ello presentado a través de una interfaz de panel intuitiva que muestra información detallada del dispositivo como el modelo, operador, estado de la batería y aplicaciones más utilizadas .

A pesar de su aparente sofisticación, los investigadores de Cyberthint identificaron inconsistencias técnicas que plantean dudas sobre la legitimidad de ZeroDayRAT como amenaza completamente funcional . Las capturas de pantalla promocionales mostraban indicios de haber sido generadas con herramientas de inteligencia artificial, incluyendo una pestaña del navegador que hacía referencia a la creación de direcciones de billetera USDT y direcciones de criptomonedas estáticas que parecían ser datos de muestra . Sin embargo, el hecho de que el vendedor acepte utilizar servicios de depósito en garantía (escrow) en foros de cibercrimen establecidos como XSS Forum sugiere confianza en la funcionalidad del producto, dejando abierta la posibilidad de que ZeroDayRAT sea una amenaza activa y en evolución, o una oferta sobrevalorada diseñada para atraer compradores en el mercado subterráneo .

Arquitectura Técnica y Modelo de Negocio MaaS

ZeroDayRAT opera bajo un modelo de negocio de Malware-as-a-Service (MaaS) que comercializa a través de canales dedicados en Telegram, donde los desarrolladores ofrecen canales separados para ventas, soporte al cliente y actualizaciones periódicas . El kit se entrega a los compradores como un paquete que incluye un builder (generador de binarios maliciosos) y un panel de control autohospedado . El operador debe configurar su propio servidor, desplegar el panel y utilizar el builder para generar payloads específicos para Android (archivos APK) o iOS (perfiles de configuración o aplicaciones empresariales) que "telefonearán" a su infraestructura .

Una característica técnica destacable es el amplio soporte de versiones de sistema operativo: ZeroDayRAT afirma ser compatible con Android desde la versión 5 hasta la 16, y con iOS hasta la versión 26.2, lo que indica un esfuerzo por mantener la operatividad en una amplia gama de dispositivos, incluyendo tanto modelos antiguos como las últimas versiones disponibles . Esta compatibilidad se logra mediante el uso de lenguajes de programación multiplataforma como Rust, C++ o Go, que permiten compilar una misma base de código para diferentes arquitecturas (ARM para Android, ARM64 para iOS) . El malware emplea técnicas avanzadas de ofuscación, incluyendo empaquetado en máquinas virtuales, ofuscación de cadenas y aplanamiento del flujo de control, para dificultar el análisis estático y la detección por parte de soluciones de seguridad tradicionales .

Vector de Infección y Cadena de Distribución

A pesar de su nombre, ZeroDayRAT no depende necesariamente de vulnerabilidades "zero-day" para la infección inicial . El vector principal es la ingeniería social, específicamente campañas de smishing (SMS phishing) donde se envían mensajes de texto con enlaces acortados (ej. mediante servicios como 2cm.es) que aparentan ser comunicaciones legítimas de servicios de mensajería, facturas o alertas de seguridad . Al hacer clic, la víctima es redirigida a través de una cadena de múltiples etapas que utiliza infraestructura confiable como GitHub Pages para alojar la página de phishing o la descarga del payload, eludiendo así los filtros de seguridad basados en reputación de dominio .

En dispositivos Android, la infección requiere que el usuario descargue e instale manualmente un archivo APK, lo que implica habilitar la opción "instalar aplicaciones de orígenes desconocidos" . En iOS, el proceso es más complejo y puede implicar la instalación de un perfil de configuración malicioso o el aprovechamiento del programa de provisioning empresarial de Apple, que permite instalar aplicaciones fuera de la App Store oficial sin pasar por la revisión de Apple . Los atacantes también distribuyen el malware a través de tiendas de aplicaciones falsas, WhatsApp y otros canales de Telegram .

Panel de Control y Capacidades de Vigilancia en Tiempo Real

Una vez que el dispositivo está infectado, este se conecta al servidor de comando y control (C2) del atacante, estableciendo un canal de comunicación cifrado (típicamente AES-256) que permite el intercambio de datos y la recepción de comandos . El panel de control web, accesible desde cualquier navegador, presenta una interfaz de múltiples pestañas que organiza la información robada y las funcionalidades de control :

Panel de Visión General (Profiling Digital): Muestra información detallada del dispositivo comprometido, incluyendo modelo, versión del sistema operativo, nivel de batería, país, estado del bloqueo de pantalla, información del operador y SIM (incluyendo números de teléfono en dispositivos dual-SIM), uso de aplicaciones desglosado por tiempo y una vista previa de los mensajes SMS recientes . Esta información permite al atacante crear un perfil detallado de la víctima.
Módulo de Vigilancia en Vivo: Permite la activación remota de la cámara frontal y trasera para transmisión en vivo, la grabación de la pantalla del dispositivo en tiempo real y la activación del micrófono para escuchar el entorno de la víctima . Combinado con el rastreo GPS, el atacante puede ver, escuchar y localizar simultáneamente a la víctima .
Keylogger y Registro de Actividad: Un módulo avanzado de keylogging registra cada pulsación de tecla con precisión de milisegundos, incluyendo contraseñas, gestos de desbloqueo biométrico, transiciones entre aplicaciones y datos introducidos en formularios . Esta información se presenta en el panel en tiempo real, permitiendo al atacante ver exactamente lo que la víctima está escribiendo.
Recopilación Pasiva de Datos: El malware captura notificaciones de todas las aplicaciones instaladas (WhatsApp, Instagram, Telegram, etc.), revelando el contenido de los mensajes sin necesidad de abrir las aplicaciones . También enumera todas las cuentas registradas en el dispositivo, extrayendo nombres de usuario y correos electrónicos asociados a servicios como Google, Facebook, Amazon y plataformas de pago locales . El acceso completo a los mensajes SMS permite la interceptación de códigos OTP (One-Time Passwords) utilizados para la autenticación de dos factores (2FA) .
Módulos de Robo Financiero:
- Crypto Stealer (Inyección de Portapapeles): Escanea el dispositivo en busca de aplicaciones de monederos de criptomonedas. Cuando detecta que el usuario copia una dirección de criptomoneda al portapapeles, la reemplaza silenciosamente por una dirección controlada por el atacante, redirigiendo los fondos de la transacción .
- Bank Stealer (Ataques de Superposición): Dirigido a aplicaciones bancarias, sistemas de pago (Apple Pay, Google Pay, PayPal) y plataformas UPI (como PhonePe en India). Utiliza ataques de superposición (overlay), donde una interfaz de usuario falsa, idéntica a la legítima, se dibuja sobre la aplicación real para capturar las credenciales de inicio de sesión cuando la víctima intenta acceder .

Persistencia y Técnicas Anti-detección

Para garantizar su operación a largo plazo, ZeroDayRAT implementa varias técnicas de persistencia y evasión. En dispositivos Android, el malware intenta instalarse en el directorio del sistema (/system/app o /system/priv-app) para hacerse pasar por una aplicación del sistema, lo que le otorga mayores privilegios y dificulta su desinstalación mediante métodos convencionales . También puede modificar scripts de inicio del sistema para asegurar que el malware se ejecute automáticamente tras cada reinicio del dispositivo .

El malware emplea técnicas de ocultación para evitar ser detectado por el usuario: no muestra icono en el menú de aplicaciones, oculta sus procesos mediante técnicas de rootkits a nivel de usuario o kernel, y optimiza su consumo de recursos (CPU, batería, datos) para no generar alertas por comportamientos anómalos . Las comunicaciones con el servidor C2 están fuertemente cifradas, lo que dificulta su detección mediante inspección de tráfico de red .

Arquitectura Modular y Actualizaciones

ZeroDayRAT está construido sobre una arquitectura modular que separa el núcleo (responsable de la persistencia, comunicación C2 y carga de módulos) de los plugins funcionales (keylogger, grabación de cámara, robo de criptomonedas, etc.) . Esta arquitectura permite a los operadores actualizar las capacidades del malware sin necesidad de reinstalarlo en los dispositivos infectados, ya que los nuevos módulos o las versiones actualizadas pueden ser descargados dinámicamente desde el servidor C2 . Esta capacidad de "actualización en caliente" hace que ZeroDayRAT sea una amenaza dinámica y en evolución, capaz de adaptarse a nuevas contramedidas de seguridad o de incorporar funcionalidades adicionales según los requisitos del atacante .

Impacto y consecuencias

ZeroDayRAT, como plataforma de malware como servicio (MaaS) que ofrece capacidades completas de troyano de acceso remoto (RAT) para dispositivos móviles, genera un impacto profundo y multifacético tanto en individuos como en organizaciones. Sus consecuencias trascienden la mera pérdida de datos, adentrándose en el terreno de la vigilancia total, el robo financiero directo y la erosión de la confianza en la seguridad de los dispositivos móviles .

Impacto en la Privacidad Individual: La Exposición Total de la Vida Digital y Física

Para un individuo, la infección por ZeroDayRAT equivale a una pérdida total de privacidad . El malware otorga al atacante una ventana completa a la vida de la víctima. Las consecuencias inmediatas incluyen:

Perfilado Digital y Exposición de la Identidad: El panel de control enumera todas las cuentas registradas en el dispositivo (Google, WhatsApp, Instagram, Facebook, Amazon, etc.) junto con los nombres de usuario o correos electrónicos asociados . Esto proporciona al atacante un mapa completo de la huella digital de la víctima, listo para ser utilizado en intentos de toma de control de cuentas o ataques de ingeniería social altamente dirigidos .
Vigilancia en Tiempo Real de la Vida Cotidiana: El atacante puede activar remotamente la cámara frontal y trasera para transmisión en vivo, así como el micrófono para escuchar conversaciones ambientales . Combinado con el rastreo GPS en tiempo real con historial de ubicaciones , el agresor puede literalmente ver, oír y localizar a la víctima simultáneamente . La capacidad de grabar la pantalla en vivo y un keylogger que registra cada pulsación (incluyendo contraseñas y gestos de desbloqueo biométrico) exponen por completo las comunicaciones privadas, credenciales y actividades en el dispositivo .
Interceptación de Comunicaciones Privadas: La captura pasiva de notificaciones de aplicaciones como WhatsApp, Telegram y correos electrónicos permite al atacante leer mensajes sin siquiera abrir las aplicaciones . Esto expone conversaciones íntimas, información laboral confidencial y alertas de seguridad. Los investigadores de iVerify califican a ZeroDayRAT como "stalkerware de libro de texto", haciendo de periodistas, activistas y víctimas de violencia doméstica objetivos particularmente vulnerables .

Consecuencias Financieras: Robo Directo e Inmediato de Activos

ZeroDayRAT no solo espía; está específicamente diseñado para monetizar el acceso de manera agresiva, causando un perjuicio económico tangible.

Robo de Criptomonedas mediante Inyección de Portapapeles: El malware escanea el dispositivo en busca de aplicaciones de monederos de criptomonedas como MetaMask, Trust Wallet, Binance y Coinbase . Utiliza una técnica de "inyección de portapapeles" (clipboard injection) que reemplaza silenciosamente la dirección de la criptomoneda que la víctima ha copiado para realizar una transacción por una dirección controlada por el atacante . El robo ocurre en el momento exacto en que la víctima envía los fondos, siendo a menudo la primera señal de infección cuando se descubre una transacción saliente no reconocida hacia una dirección desconocida .
Robo de Credenciales Bancarias mediante Ataques de Superposición (Overlay): Dirigido a aplicaciones bancarias y sistemas de pago como Apple Pay, Google Pay, PayPal y plataformas UPI (como la india PhonePe), el malware lanza pantallas de inicio de sesión falsas e idénticas a las legítimas que se superponen a la aplicación real . Cuando la víctima introduce sus credenciales, estas son capturadas por el atacante, permitiendo el acceso no autorizado a cuentas bancarias y billeteras digitales .
Neutralización de la Autenticación de Dos Factores (2FA): Al tener acceso completo a los mensajes SMS entrantes, ZeroDayRAT puede interceptar los códigos de un solo uso (OTP) enviados por los bancos como segundo factor de autenticación . Esto anula la capa de seguridad más común, permitiendo al atacante eludir la 2FA basada en SMS y consumar el fraude, el cambio de contraseñas o la toma de control total de las cuentas financieras de la víctima . De hecho, la capacidad de controlar por completo los SMS (incluyendo el envío de mensajes desde el número de la víctima) convierte a ZeroDayRAT en una herramienta excepcionalmente peligrosa para la suplantación de identidad .

Implicaciones para las Empresas: Un Punto de Entrada a la Red Corporativa

Para las organizaciones, un dispositivo de empleado comprometido por ZeroDayRAT no es solo un problema personal, sino un grave riesgo de seguridad empresarial, especialmente en entornos con políticas de Traiga su Propio Dispositivo (BYOD) poco estrictas .

Compromiso de Credenciales Corporativas y Toma de Control de Cuentas: El keylogger y el acceso a notificaciones pueden exponer directamente las credenciales de acceso a sistemas corporativos, correo electrónico y VPNs . Una vez que el atacante obtiene estas credenciales, puede utilizarlas para acceder a la red interna de la empresa, escalar privilegios y moverse lateralmente.
Exfiltración de Datos Corporativos Sensibles: El acceso a archivos, correos electrónicos y aplicaciones de mensajería utilizadas para comunicaciones laborales puede resultar en la filtración de propiedad intelectual, estrategias de negocio, datos de clientes o información financiera confidencial .
Vector para Ataques a la Cadena de Suministro: Un dispositivo de un ejecutivo o de un empleado con acceso a sistemas de socios o proveedores podría ser utilizado como punto de partida para comprometer a otras organizaciones en la cadena de suministro . Andrew Costis, de AttackIQ, señala que estamos ante una convergencia de "capacidades de nivel estatal con la economía criminal", donde las mismas herramientas pueden ser reutilizadas contra empresas mediante la focalización en ejecutivos .

Origen y motivación

ZeroDayRAT surgió a principios de febrero de 2026 como una plataforma de malware como servicio (MaaS) comercializada abiertamente a través de canales de Telegram , con la motivación fundamental de democratizar el acceso a sofisticadas capacidades de espionaje móvil que antes eran exclusivas de actores estatales o grupos de amenazas avanzadas . Su origen se atribuye a desarrolladores que han "profesionalizado" el cibercrimen, ofreciendo un producto empaquetado con canales dedicados para ventas, soporte al cliente y actualizaciones periódicas, transformando así el spyware en un negocio estructurado y escalable . La motivación principal de sus creadores es la monetización directa a través de un modelo de suscripción que, por aproximadamente $2,000, otorga a los compradores acceso a un panel de control completo para llevar a cabo vigilancia en tiempo real, robo de criptomonedas y credenciales bancarias, e interceptación de autenticación de dos factores . Al reducir drásticamente la barrera de entrada técnica y económica, ZeroDayRAT amplía el mercado de ciberdelincuentes, permitiendo que actores con motivaciones financieras, e incluso investigadores privados o acosadores, puedan comprometer la privacidad total de individuos y utilizar dispositivos infectados como puertas de entrada a redes corporativas .

Relación de acciones para mitigar el riesgo de esta actividad maliciosa.

Familias de malware