BTMOB RATのアンダーグラウンドビジネスの内幕

このAndroid RATの公式運営の周囲には、より安価な再販業者やソースコードの販売業者を名乗る者、独立系サーバー運営者、そして偽装業者らしき存在がひしめいています。

BTMOBはこれまで複数のセキュリティ関連メディアで取り上げられてきましたが、そのほとんどはマルウェア自体やその機能に関する技術分析に留まっており、周辺で形成されたエコシステムについてはあまり報じられてきませんでした。

Flareの研究者がアンダーグラウンドフォーラムやチャットプラットフォームで観測した活動からは、別の実態が浮かび上がります。それは、当初の運営者による統制がますます困難になりつつあるとみられる、犯罪者向けソフトウェアビジネスの姿です。

Flareが確認した投稿からは、BTMOBの公式チャンネルを名乗るアカウントが新バージョンのリリースや、アクセス権・専用インフラ・ソースコードの販売を継続していることが分かります。その周囲では、他の業者がより安価なサブスクリプションや再販パネル、正規品と称するソースファイル、そしてBTMOBの名を冠したバージョンを宣伝しています。

このエコシステムがどのように発展してきたかを理解するため、今回の調査ではフォーラムやチャットプラットフォームの数千件に及ぶ投稿を検証し、2025年の活動初期から現在に至るまでのBTMOBのアンダーグラウンドでの動きを追跡しました。

調査対象には、公式運営とみられるアカウントからの告知に加え、再販業者やソースコード販売業者、BTMOBの名称を使用するその他の業者の活動も含まれています。

要点

• BTMOBは、一元管理されたマルウェアサービスから、専用サーバーやソースコード購入者、カスタムバージョン、独立系管理者を巻き込んだより広範なエコシステムへと発展しました。

• 公式運営者が価格を繰り返し引き下げる一方で、第三者は大幅に安い価格でアクセス権やソースファイルと称するものを宣伝しています。

• BTMOBの名称は現在、連携した再販キャンペーンや公式との関連をほのめかすアカウントによって使用されていますが、多くの提供内容の真正性は検証できていません。

• BTMOBの公式運営は、周囲に二次市場が形成される中でも活動を継続し、新バージョンのリリースや、アクセス権・専用インフラ・サーバーコードの宣伝を続けています。

BTMOBとは何か

BTMOBは主にAndroidを標的とするリモートアクセス型トロイの木馬（RAT）で、悪意あるアプリケーションを被害者のスマートフォンにインストールし、情報を窃取した上で遠隔操作を可能にします。ドロッパー、ペイロードビルダー、Windowsベースの操作パネル、サーバーインフラ、フィッシングおよび認証情報窃取用のツールを含むマルウェア・アズ・ア・サービス（MaaS）パッケージとして販売されています。

BTMOBが業者を引き付けるのは、マルウェア本体だけでなく、その運用に必要なものの多くを併せて提供している点にあります。購入者はソフトウェアツールを使うことで、ゼロから開発することなく悪意あるAndroidアプリケーションを設定・作成できます。

購入するパッケージによっては、サーバーインフラへのアクセス権やカスタマイズ版、技術サポートも受けられます。

インフラの問題が販売機会に転じる

2025年1月、公式チャンネルはBTMOB V2を月額700ドル、ライフタイムライセンスを3,000ドル、専用インフラとサポート付きで5,000ドル＋月額料金で宣伝しました。

その1カ月足らず後、運営者はサーバーエラーの発生を認めました。運営者は4,000台を超えるモバイル端末が接続されていると主張しましたが、大量のトラフィックが顧客の利用によるものなのか、DDoS攻撃によるものなのかは判断できなかったとしています。以下のスクリーンショットを参照してください。 

これらの主張自体は検証できていませんが、この告知からは、活動初期のBTMOBにおいて、公式運営者とみられる人物が共有インフラと顧客対応を管理していた様子がうかがえます。

サービスの裏側にあるコードそのものを販売

2025年5月、当該チャンネルはBTMOBの完全なソースコードとセットアップ手順書を20,000ドルで提供すると発表しました。このパッケージにはPHPおよびNode.jsのサーバーコンポーネント、VB.NET製の管理パネル、Java製のAndroidコードが含まれていました。以下のスクリーンショットを参照してください。 

運営者は後に、ソースコードの販売によって利益が生まれるだけでなく、顧客がコードを検証できるようになり、オリジナル版の開発を止めることなくカスタム版や代替版の展開が可能になると説明しています。

同時期、この組織には分裂の兆候も見られました。スペイン語・ポルトガル語圏向けのサポートチャンネルは、元管理者2名との対立中、サーバーを一時的にオフラインにしたと発表しました。そして販売を停止し、両者が不誠実な行動をとったと非難しています。 

7月には、メインチャンネルが、管理者たちが今後それぞれ独立して運営し、自身の顧客と評判に対して責任を持つようになると発表しました。またブラジル人の管理者がソースコードを購入し、別バージョンを独自に維持していることも明らかにしています。

その後、宣伝されるソースコードの価格は10,000ドルまで下落しました。12月にBTMOB V4が登場した際、公開されたオファーではライフタイムアクセス、専用サーバー、カスタムバージョン、継続課金が強調されていました。

また、V3からの移行には運営者への直接連絡が必要であると顧客に伝えられました。

より安価な二次市場

同時期、連携したTelegramキャンペーンがBTMOB V4.1.2およびV4.2へのアクセスを提供していました。代表的な広告の一例では、ライフタイムアクセスが500ドル、「RATおよびサーバーファイルのソースコード」が1,500ドルとされ、購入希望者は@thebtmobadminおよび@btmobportalに連絡するよう案内されていました。

この広告は、複数のアカウントによってほぼ同一の文言・価格・連絡先のまま、複数のTelegramグループに繰り返し拡散されていました。その後確認された別のバリエーションでは、正規品と称するV4.5.4へのアクセスが同程度の価格で宣伝されていましたが、連絡先のアカウント名は異なっていました。

このタイミングは注目に値しますが、公式による警告がこれら特定の販売業者を指していたことを証明するものではありません。4月26日、BTMOBのメインチャンネルは公式チャンネルは1つのみであると述べ、プロジェクトの代表を名乗る他のアカウントについて一切の責任を否定しました。以下のスクリーンショットを参照してください。

他の業者は、さまざまなオプションをさらに安い価格で宣伝していました。ある業者は、正規品と称するソースコードを含め、週単位・月単位・ライフタイムのプランで複数のBTMOBバージョンを提供していました。別の業者は、安価なユーザーパネルまたは管理者パネルを購入することでBTMOBの販売業者になれると顧客を誘っていました。

ほぼ同一のソースコードおよび再販パネルの広告が数多くのサイトに掲載されており、多くの場合、同じ連絡先やウェブサイトへ誘導していました。別の投稿では、無料トライアルや800ドルのライフタイムライセンス、カスタムブランディング、そして無料と称するソースコードのダウンロードが提供されていました。

これらの広告は、いずれもファイルが正規品であることを証明するものではありません。中には正規の再販や改変版が含まれている可能性がある一方、パッケージを偽装したソフトウェアや動作しないファイル、あるいは詐欺である可能性もあります。

2026年も続く公式の開発

メインチャンネルは2026年2月にBTMOB V4.1を、4月にはV4.5をリリースしました。V4.5では、ライフタイムアカウントが1,200ドル、複数アカウント対応の専用サーバーが3,000ドル、サーバーのソースコードが7,000ドルで提供されていました。

このことは、インフラレベルのコード販売が引き続き公式ビジネスの一部であったことを示している可能性がありますが、そのオファー内容は2025年に宣伝されていた完全パッケージと比べ、範囲が狭くより安価になっています。

V4.5ではまた、複数のサーバーロケーションと、複数サーバーを一元管理するための中央管理ページも導入されました。

単一サービスから分裂した市場へ

成功したプロダクトの生みの親がそのレシピを売り渡すと、他者は当初の開発コストを負担することなくそれを複製できるようになります。その結果、より安価な版が次々と登場しますが、その品質はまちまちです。オリジナルより優れているものもあれば、不安定であったり、サポートが不十分であったり、あるいは詐欺まがいのものもあります。

BTMOBに起きたのも、まさにこうした事態とみられます。ソースコード販売や管理者間の対立の引き金が何だったのかは分かっていません。

しかし、確立されたMaaS事業として始まったものが、独立して管理される複数バージョン、安価な複製版、競合する販売チャネル、そして正当性が不確かなオファーの混在へと変化していったようです。

その結果、BTMOBという名称はもはや単一の運営者やインフラ、サービス水準を示すものではなくなっています。

この分裂した市場において、購入者はソフトウェア自体だけでなく、販売業者の評判や技術サポート、そしてサービスが実際に機能するという証拠についても見極める必要があります。

無料トライアルにサインアップして詳細をご確認ください。