ZeroDayRAT permite la toma de control en Android e iOS

Una nueva plataforma comercial de spyware móvil, ZeroDayRAT, se promociona entre ciberdelincuentes en Telegram como una herramienta que proporciona control remoto completo de dispositivos Android e iOS comprometidos. Investigadores de la empresa de detección de amenazas móviles iVerify la describen como un "kit completo de herramientas para la vulneración de dispositivos móviles", capaz de robar datos, vigilar en tiempo real y realizar fraude financiero.

¿Cúal es la amenaza?

ZeroDayRAT es un troyano móvil multiplataforma de acceso remoto (RAT) y spyware que proporciona acceso persistente y completo a smartphones y tablets infectados.

Desde allí, los operadores pueden acceder a amplias capacidades de registro, seguimiento y control en tiempo real.

Seguimiento de la víctima en tiempo real

Acceso a las transmisiones de la cámara y el micrófono

Los módulos anti-criptomonedas y anti-bancos

¿Por qué es digno de mención?

ZeroDayRAT permite una vulnerabilidad profunda y persistente en las dos principales plataformas móviles, combinando vigilancia, control de dispositivos, robo de credenciales y fraude financiero en un solo paquete. Compatible con una amplia gama de sistemas operativos, permite a los atacantes monitorear las comunicaciones, la actividad de las cuentas, los datos de las aplicaciones y el historial de ubicación, todo desde un panel de operador fácil de usar.

Sus capacidades integradas contra el robo financiero, incluyendo el escaneo de billeteras de criptomonedas y la superposición de aplicaciones bancarias, indican que ZeroDayRAT está diseñado no solo para la vigilancia, sino también para la monetización directa. Al interceptar contraseñas de un solo uso (OTP) y credenciales de registro de teclas, puede incluso eludir las protecciones 2FA/MFA.

¿Cuál es la exposición o riesgo?

El riesgo aumenta significativamente cuando los dispositivos instalan aplicaciones de fuentes no confiables o se utilizan para actividades sensibles como banca móvil, pagos, acceso a cuentas corporativas o manejo de datos confidenciales.

Esto puede permitir que los atacantes se muevan lateralmente hacia sistemas internos o entornos de nube, incluso si la infraestructura central es segura.

• 

  Cómo evolucionaron los ataques de phishing en 2025

  ---

  Temas principales en un ataque de PhaaS

  Los temas de phishing más comunes incluían mensajes falsos de pago, financieros, legales, de firma digital y relacionados con RH todos diseñados para engañar a los usuarios y hacer clic en un enlace, escanear un código QR o abrir un archivo adjunto y compartir información personal con los atacantes. Son enfoques probados y comprobados que llevan años existiendo, que falsifican marcas de confianza como Microsoft, DocuSign, SharePoint y más. Siguen teniendo éxito a pesar de la creciente conciencia de los usuarios y las medidas de seguridad cada vez más avanzadas.

  

  ---

  Estafas de pagos y facturas

  Los atacantes utilizaron IA generativa para producir correos electrónicos y solicitudes de pago de "factura atrasada" muy convincentes que coincidían estrechamente con el tono, estilo e imagen del servicio legítimo al que se estaban suplantando.

  Se incorporaron códigos QR en las facturas para desplazar a las víctimas de entornos de escritorio seguros a dispositivos móviles menos protegidos, aumentando las probabilidades de un ataque exitoso.

  ---

  Estafas de buzon de voz (vishing)

  Los correos electrónicos incluían enlaces a portales de "buzón de voz seguro" que recopilaban credenciales.

  Los atacantes también utilizaron IA generativa para generar múltiples variantes de correos y scripts de phishing, ayudando a que los correos pasaran por alto la detección y aumentaran la credibilidad.

  Se suplantaron direcciones de correo electrónico de confianza para que los ataques parecieran legítimos, e incluso copiaron el diseño y patrones familiares usados por servicios conocidos que gestionan notificaciones de buzón de voz.

  ---

  Estafas de documentos finacieros y legales

  Los atacantes usaron trucos de ingeniería social junto con IA generativa para eliminar cualquier error evidente que pudiera alertar a las víctimas. Al hacer que los mensajes resultaran más personales y adaptar constantemente sus patrones, dificultaron mucho que las víctimas distinguieran los correos maliciosos de los reales.

  Los atacantes utilizaron técnicas de spear phishing para investigar cuidadosamente cada organización, obteniendo información sobre sus principales ejecutivos e imitándolos de cerca. En algunos casos, secuestraron o utilizaron cuentas comprometidas para engañar a los empleados y que aprobaran transferencias fraudulentas.

  ---

  Estafas de revisión de firmas y documentos

  Los atacantes se hicieron pasar por un número creciente de plataformas de confianza con una marca de alta calidad y demandas "urgentes" para revisar y firmar.

  Incrustar códigos QR maliciosos en solicitudes de firma de aspecto auténtico trasladó el ataque a dispositivos móviles fuera del perímetro de seguridad corporativo.

  ---

  Estafas relacionadas con RH (Beneficios, nóminas, manual del empleado)

  Los ataques estaban alineados con los plazos fiscales y los ciclos de nómina para explotar la urgencia.

  Los códigos QR estaban incrustados en las "actualizaciones de políticas" para saltarse los filtros de correo electrónico.

  ---

  Técnicas populares utilizadas de phishing en 2025

  Las técnicas utilizadas por los kits de phishing durante 2025 fueron variadas e ingeniosas. Entre ellos se encontraban:

  • Ofuscaciones para ocultar URLs de la detección e inspección, observadas en el 48% de los ataques. Los atacantes también añadieron redirecciones abiertas y pasos de verificación humana, haciendo que las URLs de phishing parezcan auténticas y más difíciles de bloquear.
  • Ataques que eluden la autenticación multifactor (MFA), por ejemplo, robando cookies de sesión (también observado en el 48% de los ataques).
  • Ataques que aprovecharon el CAPTCHA para mayor autenticidad y para ocultar destinos sospechosos (43%).
  • Códigos QR maliciosos (vistos en el 19%). Los atacantes empezaron a dividir los códigos QR en múltiples imágenes o a anidar códigos maliciosos dentro o alrededor de los legítimos para evadir la detección por parte de las herramientas de seguridad del correo electrónico.
  • Ataques 'polimórficos' que variaban la cabecera, el cuerpo y el destino del correo para confundir o retrasar la detección (20%).
  • Adjuntos maliciosos (18%).
  • El abuso de plataformas online legítimas y de confianza, como las utilizadas para la colaboración o el diseño (10%).
  • Ataques que aprovechan IA generativa, por ejemplo, el uso de plataformas no-code, CAPTCHAs generados por IA, comentarios y código (10%).
  • El uso de 'URI de blob', un tipo de dirección web utilizada para almacenar datos localmente en memoria, dificulta la detección de ataques con medidas tradicionales (2%).
  • El uso de técnicas de ingeniería social 'ClickFix', donde un usuario es engañado para ejecutar manualmente un comando malicioso (1%).

  

  ---