BTMOB – nowy RAT atakuje Android. Jak zabezpieczyć telefon przed przejęciem?
BTMOB to zdalny trojan dla Androida, który pozwala atakującym przejąć kontrolę nad urządzeniem. Łączy phishing z gotowymi narzędziami do tworzenia złośliwych aplikacji.
Badacze ESET opisali nowe zagrożenie dla użytkowników Androida: BTMOB, zaawansowany koń trojański zdalnego dostępu, który może przejąć kontrolę nad urządzeniem. Choć pierwsze wzmianki o tym malware pojawiły się w lutym 2025 roku, jego możliwości i sposób dystrybucji czynią go realnym ryzykiem również poza Ameryką Łacińską. W przeciwieństwie do typowych trojanów bankowych, które kradną dane logowania, BTMOB daje atakującym znacznie szersze możliwości – od wycieku danych, przez nagrywanie ekranu, aż po całkowite zdalne sterowanie telefonem.
Jak działa BTMOB?
Jak szczegółowo opisują badacze ESET, BTMOB rozprzestrzenia się za pomocą klasycznej socjotechniki. Ofiary trafiają na strony phishingowe podszywające się pod serwisy streamingowe, platformy kryptowalutowe lub inne znane usługi online. Stamtąd są kierowane do fałszywych sklepów z aplikacjami, które imitują Google Play i nakłaniają do instalacji złośliwego pliku APK. Przestępcy dostosowują przynęty do konkretnych regionów – przykładowo w Argentynie wykryto kampanię podszywającą się pod tamtejsze władze podatkowe i celne.
Po instalacji BTMOB domaga się rozległych uprawnień. Nadużywa usług ułatwień dostępu Androida (Android Accessibility Services), by bez wiedzy użytkownika uzyskać podwyższone prawa i dalszy dostęp do systemu. To właśnie ta technika czyni trojana trudnym do wykrycia i usunięcia bez specjalistycznego oprogramowania.
Model malware-as-a-service
BTMOB jest sprzedawany w modelu malware-as-a-service (MaaS). Kupujący otrzymują gotowe narzędzie z interfejsem do tworzenia własnych wariantów aplikacji (APK builder). Mogą w nim modyfikować treści phishingowe, dostosowywać ikony i nazwy, a następnie generować nowe, nieznane jeszcze programom antywirusowym próbki – wszystko bez potrzeby pisania kodu. Jak podają źródła, koszt licencji na całe życie wynosi około 5 000 dolarów plus comiesięczna opłata za wsparcie. To stosunkowo niska cena w porównaniu z potencjalnymi zyskami z oszustw.
W styczniu 2026 roku na jednym z forów w darknecie pojawiła się informacja o darmowym udostępnieniu plików związanych z BTMOB. Choć forum wkrótce przestało działać, badacze zaznaczają, że to typowa ścieżka dyfuzji komercyjnego malware – narzędzie rzadko pozostaje na stałe w zamkniętym obiegu.
Co grozi ofierze?
Po uzyskaniu dostępu do urządzenia BTMOB może wykonywać wiele działań. Należą do nich: przechwytywanie zrzutów ekranu, nagrywanie aktywności na ekranie, kradzież plików i danych wrażliwych, a w efekcie przejęcie pełnej kontroli nad telefonem. W odróżnieniu od trojanów bankowych, które koncentrują się na pojedynczym celu – kontach finansowych – BTMOB działa jak uniwersalne narzędzie szpiegowskie i przejmujące kontrolę.
ESET wykrywa główne narzędzie jako MSIL/BtmobRat, a poszczególne warianty Androida jako Android/Spy.Agent.EED, Android/Spy.Agent.EIJ i inne. W ciągu zaledwie dwóch tygodni od końca stycznia 2025 roku zidentyfikowano około 15 próbek w wersji 2.5 – co pokazuje, jak szybko pojawiają się nowe warianty.
Jak się chronić?
Podstawowe zasady bezpieczeństwa znacząco utrudniają działanie tego typu zagrożeń. Przede wszystkim należy instalować aplikacje wyłącznie z oficjalnego sklepu Google Play. Fałszywe sklepy, na które kierują ofiary przestępcy, są kluczowym elementem ataku. Po drugie, należy traktować z podejrzliwością wszelkie nieproszone linki – niezależnie od tego, czy pochodzą z e-maila, komunikatora, czy reklamy w mediach społecznościowych.
Organizacje powinny wymagać od pracowników używania mobilnych rozwiązań bezpieczeństwa i traktować telefony z taką samą uwagą jak komputery. Jak wskazują badacze ESET, pojedyncze nieostrożne pobranie pliku może narazić firmę na wyciek newralgicznych danych.
Podsumowanie
BTMOB to przykład, jak rynek złośliwego oprogramowania ewoluuje w kierunku gotowych, łatwych w użyciu narzędzi. Połączenie socjotechniki, automatyzacji tworzenia wariantów i pełnej kontroli nad urządzeniem czyni go zagrożeniem nie tylko dla pojedynczych użytkowników, ale też dla firm. Na szczęście podstawowe środki ostrożności – ograniczenie instalacji do zaufanych źródeł, ostrożność wobec linków i stosowanie mobilnego oprogramowania antywirusowego – nadal są skuteczną barierą. Warto też śledzić komunikaty firm bezpieczeństwa, które regularnie publikują wskaźniki kompromitacji nowych wariantów BTMOB.
