ZeroDayRAT Campaign

ZeroDayRAT (es una plataforma de malware como servicio (MaaS) para dispositivos móviles que combina capacidades completas de vigilancia en tiempo real con módulos especializados para el robo de criptomonedas y credenciales bancarias, comercializada abiertamente a través de canales de Telegram).

Nombres Alternativos / Aliases

• Mobile Surveillance MaaS (por Cyberthint).
• Spyware Dual ZeroDay (Nombre descriptivo por su ataque a Android e iOS).
• Operación Pestaña Azul (Referencia interna a la inconsistencia técnica en las capturas de pantalla).
• Telegram RAT (Por su principal canal de distribución y venta).

Fecha de Detección / Actividad

• Período de Actividad Observado: Desde al menos el 2 de febrero de 2026.
• Fecha de Divulgación Pública: 24 de febrero de 2026 (artículo de Waqas).
• Estado: Activo. En fase de comercialización activa. Se han identificado inconsistencias técnicas que podrían indicar que la plataforma no es completamente funcional, aunque el vendedor acepta depósitos en garantía (escrow) en foros de confianza, lo que sugiere que podría ser una amenaza legítima.

Actor de Amenaza (Atribución)

• Atribución: No atribuida a un grupo específico. El operador se anuncia como un desarrollador o vendedor independiente en Telegram.
• Tipo de Actor: Grupo de cibercriminales (o posible estafador) que opera bajo el modelo de Malware como Servicio (MaaS), buscando monetizar el acceso a dispositivos móviles.
• Sofisticación: Moderada-Alta (en concepto). El panel de control promete funciones avanzadas (inyección de portapapeles, superposiciones, activación remota de sensores), pero existen dudas sobre su autenticidad y plena funcionalidad.

Resumen Ejecutivo

ZeroDayRAT es una plataforma de espionaje móvil que se ofrece mediante suscripción en Telegram, dirigida tanto a dispositivos Android como iOS. Comercializada como un servicio completo, permite a atacantes con pocos conocimientos técnicos desplegar campañas de smishing para infectar dispositivos. Una vez instalado, un panel de control web centralizado brinda al operador capacidades de vigilancia en tiempo real (acceso a GPS, micrófono, cámara, pantalla en vivo y keylogger) y módulos de robo financiero. Estos módulos se enfocan en aplicaciones de criptomonedas (MetaMask, Trust Wallet) mediante inyección en el portapapeles, y en sistemas de pago (Apple Pay, Google Pay) mediante ataques de superposición (overlay) para capturar credenciales. Aunque los investigadores de Cyberthint encontraron indicios de que el panel promocional podría haber sido generado con IA (evidenciado por una pestaña del navegador que decía "Create USDT Wallet Address"), el vendedor acepta utilizar servicios de depósito en garantía en foros de cibercrimen establecidos (XSS Forum), lo que mantiene abierta la posibilidad de que se trate de una amenaza funcional y activa, o de una estafa bien elaborada.

Vectores de Ataque

• Smishing (SMS Phishing): Vector de infección principal. Se envían mensajes de texto con enlaces acortados que imitan comunicaciones legítimas (aplicaciones, actualizaciones, facturas).
• Aplicaciones Falsas y Redes Sociales: Distribución de la carga maliciosa a través de tiendas de aplicaciones no oficiales, WhatsApp y Telegram.
• Ingeniería Social (Redirección): Uso de cadenas de redirección de varias etapas, incluyendo infraestructuras confiables como GitHub Pages, para ocultar el destino malicioso y eludir filtros de seguridad.

Técnicas, Tácticas y Procedimientos (TTPs)

Táctica (MITRE ATT&CK)	Técnica	Descripción / Implementación
Acceso Inicial (TA0001)	Phishing (T1566.002)	Envío de enlaces maliciosos por SMS (smishing) disfrazados de aplicaciones legítimas.
Ejecución (TA0002)	Ejecución de Comandos y Scripting (T1059)	El dispositivo infectado se conecta al panel de control del atacante y ejecuta comandos de vigilancia.
Evasión de Defensas (TA0005)	Ofuscación de Archivos o Información (T1027)	Uso de acortadores de URL (2cm.es) y redirecciones a través de servicios legítimos (GitHub Pages) para ocultar la infraestructura maliciosa.
Descubrimiento (TA0007)	Descubrimiento de Archivos y Directorios (T1083)	Escaneo del dispositivo en busca de aplicaciones de monederos de criptomonedas instaladas.
Colección (TA0009)	Colección de Datos del Portapapeles (T1115)	Monitoreo del portapapeles para inyectar y reemplazar direcciones de criptomonedas copiadas por la víctima.
Colección (TA0009)	Captura de Audio (T1123)	Activación remota del micrófono del dispositivo para espiar conversaciones del entorno.
Colección (TA0009)	Captura de Video (T1125)	Activación remota de la cámara frontal o trasera para vigilancia visual.
Comando y Control (TA0011)	Protocolo No Estándar (T1095)	Comunicación con el panel de control del atacante para la transmisión de datos y recepción de comandos.
Exfiltración (TA0010)	Exfiltración a través de C2 (T1041)	Los datos robados (credenciales, SMS, ubicación) se envían al panel de control centralizado.
Impacto (TA0040)	Robo de Credenciales (T1530)	Captura de credenciales de Apple Pay, Google Pay y PayPal mediante superposiciones de pantalla (overlay attacks).

Flujo de Ataque (Kill Chain)

1. Preparación & Comercialización: El atacante compra una suscripción a ZeroDayRAT en Telegram y accede al panel de control.
2. Entrega: El atacante lanza una campaña de smishing enviando enlaces acortados (ej. 2cm.es/1oDIZ) a las víctimas.
3. Redirección: La víctima hace clic en el enlace. Este redirige a través de una infraestructura de confianza como GitHub Pages (mhko78-gui.github.io) para evadir filtros de reputación.
4. Infección: Desde la página intermedia, se descarga e instala el payload (APK para Android o perfil/archivo malicioso para iOS) en el dispositivo de la víctima. La instalación suele requerir interacción manual (permitir orígenes desconocidos).
5. Conexión y Control: El dispositivo infectado se conecta al panel de comando y control (C2) de ZeroDayRAT.
6. Acción en Objetivos (Vigilancia): El atacante utiliza el panel para:
   • Rastrear la ubicación GPS en tiempo real.
   • Activar la cámara y el micrófono de forma remota.
   • Grabar la pantalla en vivo y registrar las pulsaciones de teclas (keylogger).
   • Leer SMS y acceder a la lista de aplicaciones.
7. Acción en Objetivos (Robo Financiero): El malware escanea el dispositivo en busca de apps de criptomonedas.
   • Inyección de Portapapeles: Cuando la víctima copia una dirección de wallet, el malware la reemplaza por la del atacante.
   • Ataques de Superposición (Overlay): Cuando la víctima abre apps de pago (PayPal, Google Pay), el malware superpone una pantalla falsa para capturar credenciales.
   • Interceptación OTP: Los códigos de un solo uso enviados por SMS son leídos y reenviados al atacante para eludir el 2FA.

Infraestructura Utilizada

Tipo	Ejemplos / Características	Propósito
Plataformas de Comunicación	Telegram (canales de venta y soporte)	Comercialización del MaaS y contacto con compradores.
Servicios Legítimos (Abusados)	GitHub Pages	Alojamiento de la primera etapa de redirección para eludir filtros de seguridad.
Acortadores de URLs	2cm.es	Ofuscación de la URL maliciosa original en los mensajes de smishing.
Panel de Control del Atacante	Servidor web no especificado (C2)	Interfaz centralizada para que el comprador gestione los dispositivos infectados y visualice los datos robados.

Objetivos y Sectores Atacados

• Objetivo Principal: Robo de credenciales financieras (carteras de criptomonedas) y datos de vigilancia de individuos. El servicio está diseñado para atacar a cualquier usuario de Android o iOS.
• Objetivo Secundario: Credenciales de sistemas de pago (Apple Pay, Google Pay, PayPal) y códigos 2FA vía SMS.
• Sectores Prioritarios: No se especifica un sector industrial concreto. El objetivo son usuarios finales (consumidores) con dispositivos móviles y, preferentemente, tenencias de criptomonedas.
• Distribución Geográfica: Global, dado que el servicio se comercializa en Telegram y los ataques de smishing pueden dirigirse a cualquier país.

Impacto y Riesgo

• Nivel de Riesgo: Alto (si la plataforma es legítima). Combina vigilancia personal intrusiva con robo financiero directo.
• Impacto Potencial:
  • Pérdida Financiera Total: Robo de fondos de carteras de criptomonedas y cuentas bancarias/pago vinculadas.
  • Compromiso Total de la Privacidad: Exposición de la vida personal de la víctima a través de grabaciones de cámara, micrófono, ubicación y actividad en pantalla.
  • Suplantación de Identidad: Uso de los datos robados (credenciales, SMS, fotos) para cometer fraude en nombre de la víctima.
  • Compromiso de Cuentas Críticas: El acceso a SMS permite eludir la autenticación de dos factores (2FA) basada en SMS, comprometiendo cuentas de correo, redes sociales y servicios adicionales.
• Carácter de la Amenaza: Representa la evolución del MaaS hacia la "vigilancia como servicio", democratizando el acceso a herramientas de espionaje sofisticadas y facilitando el robo de activos digitales. La duda sobre su autenticidad introduce un factor de incertidumbre típico en los mercados subterráneos.

Recomendaciones de Mitigación

• Capacitación de Usuarios: Educar sobre los riesgos del smishing. Advertir explícitamente que nunca se debe hacer clic en enlaces de SMS no solicitados que inciten a la urgencia (problemas con facturas, entregas de paquetes, etc.). Reforzar que las aplicaciones solo deben descargarse de tiendas oficiales.
• Autenticación Multifactor Robusta: Evitar el uso de SMS como segundo factor de autenticación (2FA) . Utilizar en su lugar aplicaciones de autenticación (Google Authenticator, Microsoft Authenticator) o llaves de seguridad hardware (YubiKey). Esto neutraliza el módulo de interceptación de SMS de ZeroDayRAT.
• Seguridad en el Dispositivo Móvil:
  • Mantener el sistema operativo y las aplicaciones siempre actualizados.
  • Revisar periódicamente los permisos concedidos a las aplicaciones. Desconfiar de apps que soliciten permisos excesivos (ej. una linterna que pide acceso a micrófono y ubicación).
  • Utilizar soluciones de seguridad móvil (EDR móvil) que puedan detectar comportamientos anómalos (ej. activación inusual de la cámara en segundo plano).
• Monitoreo de Anomalías: Estar atento a señales de infección en dispositivos móviles: aumento repentino del consumo de batería, uso excesivo de datos móviles, ventanas emergentes extrañas o que la pantalla se encienda sin intervención del usuario.
• Hardening de Dispositivos: Para usuarios de alto perfil, considerar el uso de modos de bloqueo (Lockdown Mode en iOS) que limitan drásticamente la superficie de ataque.

Herramientas de Detección

• Soluciones de Seguridad Móvil (EDR Móvil): Plataformas como Lookout, Zimperium o el propio Google Play Protect (con mejoras) pueden detectar comportamientos de RAT, como el acceso simultáneo a cámara, GPS y micrófono, o la comunicación con dominios de C2 conocidos.
• Monitoreo de Tráfico de Red (NTA/NDR): Análisis del tráfico de red corporativo en busca de conexiones salientes desde dispositivos móviles hacia direcciones IP o dominios sospechosos asociados con paneles de control de RAT.
• Sistemas SIEM con Correlación: Integrar logs de soluciones de seguridad móvil y de autenticación para correlacionar eventos. Por ejemplo: "infección detectada en dispositivo móvil" + "inicio de sesión en cuenta corporativa desde ubicación geográfica inusual".
• Plataformas de Inteligencia de Amenazas (TI Feeds): Suscribirse a feeds que compartan indicadores de compromiso (IOCs) relacionados con campañas de MaaS móvil, como dominios de C2, hashes de APK maliciosos o direcciones de cartera de criptomonedas asociadas a los atacantes.

Referencias y Fuentes

• Waqas. (2026, Febrero 24). El nuevo malware ZeroDayRAT afirma tener monitoreo completo de dispositivos Android e iOS. (Artículo original proporcionado por el usuario).
• Cyberthint. (2026, Febrero 18). ZeroDayRAT: A Next-Generation Mobile Espionage and Financial Theft Platform. (Informe de investigación original).
• MITRE ATT&CK Framework: Para el mapeo de TTPs (T1566.002, T1125, T1115, T1530, etc.).

Historial de Revisiones

Fecha	Versión	Autor	Cambios Realizados
2026-02-25	1.0	Fernando vargas Hincapié	Creación inicial de la entrada en la wiki basada en los informes de Cyberthint y el artículo de Waqas.

Indicadores de Compromiso / IOC

• Bajo seguimiento. IOCs no publicados en los informes iniciales. Se recomienda monitorizar:
  • URLs Sospechosas: Dominios que utilicen acortadores como 2cm.es o que redirijan a subdominios de github.io no oficiales.
  • APKs Maliciosas: Archivos APK que soliciten permisos excesivos (acceso a SMS, cámara, ubicación, micrófono) y no procedan de tiendas oficiales.
  • Direcciones de Criptomonedas: Carteras Tether (USDT) que comiencen con "TQ9..." (mencionadas en las capturas del panel falso), aunque podrían ser de muestra.

Etiquetas / Categorías

malware rat spyware mobile-security android ios maas telegram smishing cryptocurrency-theft banking-trojan surveillance cyberthint campana-zerodayrat ciberwiki