BTMOB: salajane RAT, mis tungib sügavale Android-seadmetesse

Meie hiljutine ülevaade Brasiilias avastatud ohtudest tõi esile BTMOB-i, Androidi kaugjuurdepääsutroojani (RAT), mis ei ole niivõrd märkimisväärne avastamiste arvu poolest, kuivõrd kahju poolest, mida see võib tekitada. Püügipõhise levitamise, valmis rakenduste loomise tööriistade ja seadme üle võtmise võimete kombinatsioon teeb BTMOB-ist ohu, mida tuleb jälgida kaugemale Brasiiliast või Ladina-Ameerikast.

BTMOB lühidalt

Esmakordselt 2025. aasta veebruariskirjeldatud BTMOB on arenenud välja SpySolr-pahavarast. Erinevalt pangatroojanitest, mille eesmärk on „ainult” varastada inimeste finantsandmeid või pealt kuulata nende finantstehinguid, pakub BTMOB ründajatele laiemat valikut: varastada mitmesuguseid tundlikke andmeid, teha ekraanipilte ja salvestada seadme tegevust ning lõpuks võtta seadme üle kaugjuhtimine. RAT-i müüakse ka koos APK-koostaja liidesega, mis võimaldab kellelgi kiiresti luua uusi pahavara ja kohandada phishing-lõkse konkreetsetele piirkondadele – ilma koodi kirjutamata.

Kuidas BTMOB levib?

Pole üllatav, et kõik algab tavalise sotsiaalse inseneriga. Operaatorid suunavad ohvreid pettusveebisaitidele, mis esitlevad end voogesitusteenuste, krüptovaluuta kaevandamise platvormide või muude tuttavate veebiteenustena. Sealt suunatakse ohvreid võltsitud rakenduste poodidesse, mis jäljendavad õiguspäraseid poode ja kutsuvad neid üles paigaldama pahatahtlikku APK-faili. On täheldatud ka, et pahatahtlikud isikud kohandavad oma meelitusi konkreetsetele piirkondadele.

Kui rakendus on installitud, püüab BTMOB saada laialdast juurdepääsu seadmele. Nagu tänapäeval tavaline, kuritarvitab see Androidi juurdepääsuteenuseid, et saada kõrgendatud õigusi ja anda endale täiendav juurdepääs süsteemile ilma kasutaja täiendava sekkumiseta.

Kuna BTMOB on loodud pahavara-teenusena (MaaS), turustatakse seda tarkvaratootena, sealhulgas avatud veebi reklaamilehe kaudu, mis suunab potentsiaalsed ostjad Telegrammi operaatori juurde. Müügikanal ulatub sotsiaalmeedia platvormidele, kus mitmed kontod X-is ja Instagramis aktiivselt seda tööriista müüvad.

Kui keegi ostab pahavara komplekti, saab ta selle funktsioone kohandada, sealhulgas phishing-lõkse, et esineda brändina või asutusena, mis tõenäoliselt meelitab ohvreid kõige tõenäolisemalt igas riigis. Näiteks märkasid uurijad Johnk3r ja Merl hiljuti kampaaniaid, mis levitasid BTMOB-i, esinedes Argentina maksu- ja tolliasutustena.

Turu dünaamika ja avastamisprobleemid

Isegi kui arendajad piiravad algselt tööriista kasutamist maksvatele klientidele, on majanduslikud tingimused ründajatele soodsad. Teatatud 5000-dollariline eluaegne litsents koos igakuise tugitasuga on madal võrreldes tuluga, mida edukas pettusoperatsioon võib tuua.

Lisaks vähendab MaaS-mudel ka vähem kogenud ründajate jaoks sisenemistõket. 2026. aasta jaanuaris väitis üks dark web’i foorum, et pakub BTMOB-iga seotud faile tasuta allalaadimiseks. Foorum suleti hiljem ja meie otsingud ei leidnud koormat (koormusi), kuid see juhtum viitab kaubandusliku pahavaraga seotud tuttavale riskile: juurdepääs jääb harva igaveseks piiratuks ja tööriist võib liikuda teisele turule edasimüügi, vahetuskaubanduse või suletud rühmade sisese jagamise kaudu. Konkureerivad pahavaraperekonnad võivad samuti kopeerida mõningaid elemente, mis muudavad koorma kohandamise ja kampaaniate haldamise vähem kogenud kurjategijate jaoks lihtsamaks.

Kuna uusi variante on võimalik kiiresti luua, peaksid kaitsjad ootama pigem kiiret koorma vahetumist kui stabiilset ohte. ESETi tooted tuvastavad peamise tööriista kui MSIL/BtmobRat, samas kui seotud Androidi variandid käivitavad tuvastamisi nagu Android/Spy.Agent.EED, Android/Spy.Agent.EIJ ja Android/Spy.Agent.EIK. Cyble’i 2025. aasta veebruari aruandes märgiti, et alates selle aasta jaanuari lõpust, st vaid umbes kahe nädala jooksul, oli avastatud ligikaudu 15 BTMOB v2.5 proovi.

Kuidas end kaitsta

Mõned põhilised näpunäited aitavad oluliselt kaasa BTMOB-i ja muu Androidi pahavara eest kaitsmisele:

• Kasutage ainult ametlikku rakenduste poodi: ründajad kasutavad Google Playd jäljendavaid võltsrakenduste poode. Organisatsioonid peaksid nõudma, et kasutajad laadiksid tarkvara alla ainult ametlikest allikatest.
• Suhtuge linkidesse kahtlusega: olge skeptilised e-kirjade, sõnumirakenduste, sotsiaalmeedia ja sihtreklaamide kaudu saadetud soovimatute linkide suhtes.
• Kasutage turvatarkvara: nii eraisikud kui ka organisatsioonid peaksid kasutama mobiilturbe lahendusi ja suhtuma mobiilseadmetesse sama rangelt kui teistesse seadmetesse ja keskkondadesse. Ettevõtete turvateenistused peavad töötajatele selgeks tegema, et üksainus ohtlik allalaadimine võib paljastada ettevõtte kõige väärtuslikuma vara.

Ohustatuse märgid

Kuna BTMOB „muteerub” kiiresti, võivad paljud indikaatorid kiiresti aeguda. Siiski korduvad teatud infrastruktuurimustrid sageli erinevates näidistes ja aitavad kaasa triage’ile.

IP-aadressid

Hashid – SHA256

ESETi tuvastamisnimetused

Loe täismahus analüüsi WeLiveSecurity veebist →