Een geavanceerde cybercampagne heeft tienduizenden gebruikers in Spanje misleid met advertenties voor gratis tv-diensten, met als doel hun smartphones te infecteren met malware genaamd StreamRat. De operatie, die gebruikmaakte van sociale media om de aandacht te trekken, moedigde gebruikers aan om een app te installeren die hen controle over hun telefoons kon geven. Eén specifieke campagne bereikte tussen 11 juni en 3 juli 2026 naar schatting 570.000 Meta-gebruikers die Spaans spraken en zich in Spanje bevonden.

De bijbehorende website was ontworpen om specifiek Android-gebruikers te targeten, waarbij de downloadoptie voor andere besturingssystemen werd verborgen. Vervolgens werden gebruikers, afhankelijk van hun browser of sociale app, instructies geleid om de installatie van apps buiten de officiële app-winkels toe te staan en de Toegankelijkheidsinstellingen (Accessibility) op hun apparaat te activeren. Deze stappen waren cruciaal voor de installatie van de kwaadaardige software.

De eerste stap in de aanval omvatte een zogenaamde 'dropper'-app die zich voordeed als het standaard startscherm van de telefoon. Nadat deze rol was ingenomen, downloadde en installeerde de dropper de hoofdtrojan, waarna hij zijn rol als startscherm opgaf. Zodra de gebruiker StreamRat toegang gaf via de Toegankelijkheidsinstellingen, kreeg de malware de mogelijkheid om alles wat op het scherm verscheen te observeren, getypte informatie te registreren en zelfs tikken of veegbewegingen uit te voeren. Om detectie te omzeilen, kon StreamRat het scherm zwart maken of een valse systeemupdate tonen terwijl een operator op de achtergrond operaties uitvoerde.

De functionaliteit van StreamRat is uitgebreid: het kan wachtwoorden onderscheppen, schermen bekijken en beveiligde apparaten op afstand besturen. De malware maakt gebruik van valse inlogpagina's om de ingevoerde gegevens van het slachtoffer te verzamelen. Bovendien kan de dropper VPN-toegang aanvragen en een verbinding opzetten die geen normaal dataverkeer genereert, wat mogelijk dient om cloud-gebaseerde beveiligingscontroles te omzeilen. Het uiteindelijke doel van deze campagne was het verkrijgen van toegang tot persoonlijke informatie en financiële rekeningen van gebruikers, waardoor aanvallers toegang konden krijgen tot bankapps, berichten en andere gevoelige accounts.

Hoewel de specifieke methoden van de campagne kunnen variëren, blijft het kernpunt hetzelfde: een gebruiker installeert een onbetrouwbare app en verleent deze toegang tot de telefoon. Recentelijk is een controlepaneel ontdekt dat wijst op een meer georganiseerde operatie, met aparte gebruikersrollen en tools voor het ontwikkelen van malware, wat suggereert dat meerdere cybercriminelen betrokken kunnen zijn. Het exacte aantal geïnfecteerde apparaten of succesvolle aanvallen is echter nog niet vastgesteld.