{"id":8054,"date":"2026-05-26T12:00:00","date_gmt":"2026-05-26T09:00:00","guid":{"rendered":"https:\/\/blog.eset.ee\/et\/2026\/05\/26\/btmob-salajane-rat-mis-tungib-sugavale-android-seadmetesse\/"},"modified":"2026-05-26T12:00:00","modified_gmt":"2026-05-26T09:00:00","slug":"btmob-salajane-rat-mis-tungib-sugavale-android-seadmetesse","status":"publish","type":"post","link":"https:\/\/blog.eset.ee\/et\/et\/2026\/05\/26\/btmob-salajane-rat-mis-tungib-sugavale-android-seadmetesse\/","title":{"rendered":"BTMOB: salajane RAT, mis tungib s\u00fcgavale Android-seadmetesse"},"content":{"rendered":"

Meie hiljutine \u00fclevaade Brasiilias avastatud ohtudest t\u00f5i esile BTMOB-i, Androidi kaugjuurdep\u00e4\u00e4sutroojani (RAT), mis ei ole niiv\u00f5rd m\u00e4rkimisv\u00e4\u00e4rne avastamiste arvu poolest, kuiv\u00f5rd kahju poolest, mida see v\u00f5ib tekitada. P\u00fc\u00fcgip\u00f5hise levitamise, valmis rakenduste loomise t\u00f6\u00f6riistade ja seadme \u00fcle v\u00f5tmise v\u00f5imete kombinatsioon teeb BTMOB-ist ohu, mida tuleb j\u00e4lgida kaugemale Brasiiliast v\u00f5i Ladina-Ameerikast.<\/p>\n

BTMOB l\u00fchidalt<\/h2>\n

Esmakordselt<\/a> 2025. aasta veebruariskirjeldatud<\/a> BTMOB on arenenud v\u00e4lja SpySolr-pahavarast. Erinevalt pangatroojanitest, mille eesm\u00e4rk on \u201eainult\u201d varastada inimeste finantsandmeid v\u00f5i pealt kuulata nende finantstehinguid, pakub BTMOB r\u00fcndajatele laiemat valikut: varastada mitmesuguseid tundlikke andmeid, teha ekraanipilte ja salvestada seadme tegevust ning l\u00f5puks v\u00f5tta seadme \u00fcle kaugjuhtimine. RAT-i m\u00fc\u00fcakse ka koos APK-koostaja liidesega, mis v\u00f5imaldab kellelgi kiiresti luua uusi pahavara ja kohandada phishing-l\u00f5kse konkreetsetele piirkondadele \u2013 ilma koodi kirjutamata.<\/p>\n

\"Imagem1\"
\n

Joonis 1. BTMOB APK loomise t\u00f6\u00f6riist<\/em><\/p>\n<\/figcaption><\/figure>\n

Kuidas BTMOB levib?<\/h2>\n

Pole \u00fcllatav, et k\u00f5ik algab tavalise sotsiaalse inseneriga. Operaatorid suunavad ohvreid pettusveebisaitidele, mis esitlevad end voogesitusteenuste, kr\u00fcptovaluuta kaevandamise platvormide v\u00f5i muude tuttavate veebiteenustena. Sealt suunatakse ohvreid v\u00f5ltsitud rakenduste poodidesse, mis j\u00e4ljendavad \u00f5igusp\u00e4raseid poode ja kutsuvad neid \u00fcles paigaldama pahatahtlikku APK-faili. On t\u00e4heldatud ka, et pahatahtlikud isikud kohandavad oma meelitusi konkreetsetele piirkondadele.<\/p>\n

Kui rakendus on installitud, p\u00fc\u00fcab BTMOB saada laialdast juurdep\u00e4\u00e4su seadmele. Nagu t\u00e4nap\u00e4eval tavaline, kuritarvitab see Androidi juurdep\u00e4\u00e4suteenuseid, et saada k\u00f5rgendatud \u00f5igusi ja anda endale t\u00e4iendav juurdep\u00e4\u00e4s s\u00fcsteemile ilma kasutaja t\u00e4iendava sekkumiseta.<\/p>\n

\"Imagem2\"
Joonis 2. V\u00f5ltsitud rakenduste pood ja pahatahtlikud rakendused. Allikas: @Merlax_<\/a>)<\/em><\/figcaption><\/figure>\n

Kuna BTMOB on loodud pahavara-teenusena (MaaS), turustatakse seda tarkvaratootena, sealhulgas avatud veebi reklaamilehe kaudu, mis suunab potentsiaalsed ostjad Telegrammi operaatori juurde. M\u00fc\u00fcgikanal ulatub sotsiaalmeedia platvormidele, kus mitmed kontod X-is ja Instagramis aktiivselt seda t\u00f6\u00f6riista m\u00fc\u00fcvad. <\/p>\n

\"Imagem3\"
Joonis 3. BTMOBi pakkumine avalikul veebil<\/em><\/figcaption><\/figure>\n
\"Imagem4\"
Joonis 4. Pahavaraga seotud X-profiil<\/em><\/figcaption><\/figure>\n

Kui keegi ostab pahavara komplekti, saab ta selle funktsioone kohandada, sealhulgas phishing-l\u00f5kse, et esineda br\u00e4ndina v\u00f5i asutusena, mis t\u00f5en\u00e4oliselt meelitab ohvreid k\u00f5ige t\u00f5en\u00e4olisemalt igas riigis. N\u00e4iteks m\u00e4rkasid uurijad Johnk3r<\/a> ja Merl<\/a> hiljuti kampaaniaid, mis levitasid BTMOB-i, esinedes Argentina maksu- ja tolliasutustena.<\/p>\n

\"Imagem5\"
Joonis 5. BTMOB, kes esineb Argentina valitsusasutusena. (Allikas: Germ\u00e1n Fern\u00e1ndez Bacian<\/a>)<\/em><\/figcaption><\/figure>\n

Turu d\u00fcnaamika ja avastamisprobleemid<\/h2>\n

Isegi kui arendajad piiravad algselt t\u00f6\u00f6riista kasutamist maksvatele klientidele, on majanduslikud tingimused r\u00fcndajatele soodsad. Teatatud 5000-dollariline eluaegne litsents koos igakuise tugitasuga on madal v\u00f5rreldes tuluga, mida edukas pettusoperatsioon v\u00f5ib tuua.<\/p>\n

Lisaks v\u00e4hendab MaaS-mudel ka v\u00e4hem kogenud r\u00fcndajate jaoks sisenemist\u00f5ket. 2026. aasta jaanuaris v\u00e4itis \u00fcks dark web’i foorum, et pakub BTMOB-iga seotud faile tasuta allalaadimiseks. Foorum suleti hiljem ja meie otsingud ei leidnud koormat (koormusi), kuid see juhtum viitab kaubandusliku pahavaraga seotud tuttavale riskile: juurdep\u00e4\u00e4s j\u00e4\u00e4b harva igaveseks piiratuks ja t\u00f6\u00f6riist v\u00f5ib liikuda teisele turule edasim\u00fc\u00fcgi, vahetuskaubanduse v\u00f5i suletud r\u00fchmade sisese jagamise kaudu. Konkureerivad pahavaraperekonnad v\u00f5ivad samuti kopeerida m\u00f5ningaid elemente, mis muudavad koorma kohandamise ja kampaaniate haldamise v\u00e4hem kogenud kurjategijate jaoks lihtsamaks.<\/p>\n

Kuna uusi variante on v\u00f5imalik kiiresti luua, peaksid kaitsjad ootama pigem kiiret koorma vahetumist kui stabiilset ohte. ESETi tooted tuvastavad peamise t\u00f6\u00f6riista kui MSIL\/BtmobRat, samas kui seotud Androidi variandid k\u00e4ivitavad tuvastamisi nagu Android\/Spy.Agent.EED, Android\/Spy.Agent.EIJ ja Android\/Spy.Agent.EIK. Cyble’i<\/a> 2025. aasta veebruari aruandes<\/a> m\u00e4rgiti, et alates selle aasta jaanuari l\u00f5pust, st vaid umbes kahe n\u00e4dala jooksul, oli avastatud ligikaudu 15 BTMOB v2.5 proovi.<\/p>\n

Kuidas end kaitsta<\/h2>\n

M\u00f5ned p\u00f5hilised n\u00e4pun\u00e4ited aitavad oluliselt kaasa BTMOB-i ja muu Androidi pahavara eest kaitsmisele:<\/p>\n