BTMOB: Androidデバイスに深く潜り込む隠密型RAT

マルウェア

このマルウェアはリモートアクセス機能と既製のキャンペーンツールを組み合わせ、デバイスの完全な侵害に対する障壁を低くしています

ブラジルにおける脅威検出の最近のレビューで、BTMOBというAndroidリモートアクセス型トロイの木馬（RAT）が浮上しました。このマルウェアは検出件数よりも、もたらし得る被害の大きさで注目されます。フィッシングによる配布、既製のアプリ構築ツール、そしてデバイス乗っ取り機能の組み合わせにより、BTMOBはブラジルやラテンアメリカをはるかに超えた範囲で監視すべき脅威となっています。

BTMOBの概要

2025年2月に初めて報告されたBTMOBは、SpySolrマルウェアから進化したものです。金融認証情報の窃取や金融取引の傍受「のみ」を目的とするバンキング型トロイの木馬とは異なり、BTMOBは攻撃者により幅広い選択肢を提供します。すなわち、幅広い機密データの流出、スクリーンショットの取得とデバイス上の活動記録、そして最終的にはリモートでのデバイス制御が可能です。このRATにはAPKビルダーインターフェースも付属しており、誰でもコードを一切書かずに新たなペイロードを生成し、特定の地域向けにフィッシングの誘い文句を素早くカスタマイズできます。

BTMOBはどのように拡散するのか？

当然のことながら、すべては普通のソーシャルエンジニアリングから始まります。オペレーターは被害者を、ストリーミングサービスや暗号通貨マイニングプラットフォームなどの身近なオンラインサービスを装ったフィッシングサイトに誘導します。そこから被害者は、正規のリポジトリを模倣した偽のアプリストアへと誘導され、悪意あるAPKのインストールを促されます。悪意ある行為者が特定の地域に合わせた誘い文句を作成していることも確認されています。

インストールされると、BTMOBはデバイスへの広範なアクセスを求めます。昨今よく見られるように、AndroidアクセシビリティサービスをSuite用して昇格した権限を取得し、ユーザーの追加操作なしにシステムへのさらなるアクセスを自ら付与します。

マルウェア・アズ・ア・サービス（MaaS）エコノミー向けに構築されているため、BTMOBはソフトウェア製品として販売されており、オープンウェブ上のプロモーションページを通じてTelegramのオペレーターへと見込み客を誘導しています。販売チャネルはソーシャルメディアプラットフォーム全体に広がっており、XやInstagramの複数のアカウントがこのツールを積極的に宣伝しています。 

悪意あるキットを購入すると、その機能をカスタマイズできます。フィッシングの誘い文句も含め、特定の国で被害者を引き付けやすいブランドや機関を装うことが可能です。例えば、研究者のJohnk3rとMerlは最近、アルゼンチンの税務・税関当局を装いながらBTMOBを拡散するキャンペーンを発見しました。

市場の動向と検出の課題

開発者が当初ツールを有料顧客のみに限定している場合でも、攻撃者にとって経済的な優位性は維持されます。報告されている5,000ドルの永久ライセンス料と月額サポート料は、不正行為の成功によって得られる収益と比較すると安価です。

さらに、MaaSモデルは高度なスキルを持たない攻撃者への参入障壁も低下させます。2026年1月、ダークウェブのフォーラムがBTMOB関連ファイルを無料でダウンロード可能と主張しました。そのフォーラムはその後オフラインになり、我々の調査ではペイロードを回収できませんでしたが、この出来事は商業マルウェアにつきまとる周知のリスクを示しています。つまり、アクセスが永久に制限されたままになることはほとんどなく、転売・物々交換・閉鎖グループ内での共有を通じて二次市場に流出する可能性があります。競合するマルウェアファミリーが、スキルの低い犯罪者にとってペイロードのカスタマイズやキャンペーン管理を容易にする要素を一部模倣することもあります。

新しい亜種は素早く生成できるため、防御側は安定した脅威のセットではなく、ペイロードの急速な入れ替わりを想定すべきです。ESETの製品は主要ツールをMSIL/BtmobRatとして検出し、関連するAndroid亜種はAndroid/Spy.Agent.EED、Android/Spy.Agent.EIJ、Android/Spy.Agent.EIKなどの検出名でトリガーされます。2025年2月のCybleのレポートでは、BTMOB v2.5のサンプルが同年1月下旬以降、つまりわずか2週間ほどで約15件発見されたと指摘されています。

身を守る方法

いくつかの基本的なヒントに従うことで、BTMOBやその他のAndroidマルウェアからの安全を大幅に高めることができます。

• 公式アプリストアを利用する：攻撃者はGoogle Playを模倣した偽のアプリストアを利用します。組織はユーザーが公式リポジトリのみからソフトウェアをダウンロードするよう義務付けるべきです。
• リンクを疑ってかかる：メール、メッセージアプリ、ソーシャルメディア、ターゲット広告を通じて届く未承諾のリンクには懐疑的になりましょう。
• セキュリティソフトを使用する：個人・組織ともにモバイルセキュリティソリューションを使用し、モバイルデバイスを他のマシンや環境と同様の厳格さで扱うべきです。企業のセキュリティチームは、1回の不正ダウンロードが会社の最重要機密を危険にさらし得ることを従業員に明示しなければなりません。

侵害の痕跡（IoC）

BTMOBは素早く「変異」するため、多くの指標は急速に陳腐化する可能性があります。それでも、特定のインフラパターンは異なるサンプル間で繰り返し現れ、トリアージの助けになります。 

IPアドレス

ハッシュ値 – SHA256

ESET検出名