Крыса БТМОБ

BTMOB RAT — это сложный троян удаленного доступа (RAT) для Android, распространяемый по модели «вредоносное ПО как услуга» (MaaS). Впервые описанный исследователями кибербезопасности в феврале 2025 года, этот вредоносный код позволяет киберпреступникам приобретать или арендовать полностью функциональный набор инструментов для слежки, не требуя технических знаний или навыков программирования.

Угроза возникла как преемник более раннего семейства вредоносных программ для Android, известного как SpySolr. Приняв коммерческую модель распространения, создатели BTMOB RAT значительно снизили порог входа для преступников, стремящихся проводить масштабные кампании по мобильному шпионажу, краже учетных данных и финансовому мошенничеству.

Использование функций специальных возможностей Android для полного контроля над устройством.

Одна из самых опасных возможностей вредоносной программы заключается в злоупотреблении службами специальных возможностей Android. Манипулируя этими службами, BTMOB RAT незаметно получает расширенные права доступа, не вызывая дополнительных предупреждений системы безопасности, которые могли бы насторожить жертву.

После активации вредоносная программа может выполнять действия от имени владельца устройства. Она может считывать содержимое экрана, взаимодействовать с элементами интерфейса, подтверждать разрешения и незаметно расширять свой контроль над устройством. Этот метод позволяет злоумышленникам поддерживать постоянный и скрытый доступ, обходя многие традиционные средства защиты.

Широкие возможности наблюдения и защиты от кражи данных.

BTMOB RAT предоставляет злоумышленникам обширные возможности мониторинга и шпионажа. Заражённые устройства становятся полностью доступны удалённым операторам, что позволяет осуществлять непрерывное наблюдение и прямое взаимодействие с активностью смартфона жертвы.

Вредоносная программа способна на следующее:

• Кража контактов, SMS-сообщений, журналов звонков и сохраненных учетных данных.
• Создание скриншотов, запись активности устройства, удаленный запуск приложений и мониторинг действий пользователя в режиме реального времени.

В отличие от многих стандартных банковских троянов, которые сосредоточены исключительно на финансовых кражах, BTMOB RAT предлагает широкие возможности удаленного администрирования, эффективно превращая зараженные телефоны в устройства удаленного наблюдения.

Специально разработанное вредоносное ПО, избегающее обнаружения.

Встроенная панель конструктора APK позволяет клиентам создавать настраиваемые варианты вредоносного ПО с минимальными усилиями. Конструктор позволяет операторам изменять названия маскировки, региональные параметры таргетинга и настройки, специфичные для кампании, без написания какого-либо кода.

Возможность индивидуальной настройки значительно затрудняет обнаружение вредоносных программ средствами безопасности, поскольку каждое развертывание может немного отличаться от предыдущих образцов. Исследователи обнаружили около 15 образцов BTMOB RAT v2.5 всего за две недели в конце января 2025 года, что подчеркивает быстрое развитие вредоносного ПО и агрессивный цикл его распространения.

Содействие преступности и активные региональные кампании

BTMOB RAT открыто рекламируется на различных онлайн-платформах. Сообщается, что подписка стоит около 700 долларов в месяц, также доступны варианты пожизненного лицензирования. Рекламная активность была замечена в каналах Telegram, на подпольных форумах и в социальных сетях, таких как Instagram и X (Twitter).

Большинство задокументированных фишинговых кампаний были направлены в первую очередь на пользователей в Бразилии, хотя дополнительные фишинговые операции также были нацелены на жертв в Аргентине. В нескольких кампаниях использовались выдачи себя за местные налоговые органы и таможенные службы, чтобы повысить доверие и побудить жертв загрузить вредоносные приложения.

Методы заражения, имитирующие доверенные платформы.

Распространение вредоносных программ обычно осуществляется с помощью фишинговых сайтов, имитирующих легитимные стриминговые сервисы, криптовалютные платформы и другие известные бренды. Жертвы перенаправляются в поддельные магазины приложений, интерфейс которых намеренно имитирует официальный интерфейс Google Play Store.

Затем пользователей убеждают загрузить вредоносные APK-установщики, размещенные вне официальной экосистемы Google. Вредоносное ПО также получило известность благодаря агрессивной рекламе в социальных сетях и подпольных сообществах, где распространялись бесплатные образцы для привлечения дополнительных клиентов из числа преступников.

Растущий риск появления новых вариантов

Разработчики киберпреступлений постоянно совершенствуют свои вредоносные программы, чтобы улучшить устойчивость, скрытность и наступательные возможности. Поэтому в будущих версиях BTMOB RAT могут появиться дополнительные функции, более мощные механизмы обхода защиты или расширенная функциональность атак, выходящая за рамки уже описанного.

Наличие вредоносного ПО, такого как BTMOB RAT, на устройстве может привести к серьезным нарушениям конфиденциальности, краже личных данных, несанкционированным финансовым операциям и даже множественным вторичным заражениям, которые еще больше скомпрометируют зараженную систему.

Другие трояны, предназначенные для удаленного доступа к устройствам Android, включая Mirax, Oblivion и Arsink, преследуют схожие цели: получение несанкционированного доступа к устройству, сбор конфиденциальной информации и монетизация украденных данных для получения преступной прибыли.

Основные меры защиты от заражения Android RAT-вирусами

Надежные методы обеспечения безопасности мобильных устройств остаются критически важными для предотвращения заражения такими угрозами, как BTMOB RAT.

К основным мерам защиты относятся:

• Загружайте приложения исключительно из официального магазина Google Play или проверенных источников разработчиков, избегайте нежелательных ссылок для скачивания, внимательно проверяйте разрешения приложений, обновляйте программное обеспечение и изучайте отзывы пользователей перед установкой.
• Используйте проверенные решения для обеспечения безопасности мобильных устройств, способные обнаруживать вредоносные приложения и подозрительное поведение до того, как произойдет компрометация.

Поскольку экосистемы вредоносных программ для Android продолжают развиваться, бдительность, гигиена программного обеспечения и осторожное управление приложениями остаются важнейшими средствами защиты от все более изощренных мобильных киберугроз.