BTMobは、WebSocketを用いたコマンド&コントロール(C2)通信によって、攻撃者が感染デバイスへリアルタイムでコマンドを送信できるAndroid遠隔操作型トロイの木馬(RAT)です。
このマルウェアは、より広範なCraxsRATおよびSpySolrのエコシステムと関連があり、銀行口座情報の窃取、デバイス監視、大規模な悪意あるAPK配布を目的とした商用の詐欺プラットフォームへと進化しています。
研究者らは2025年2月、トルコのストリーミングサービスiNat TVを偽装したフィッシングサイトを通じて配布されていたlnat-tv-pro.apkという名称のAPKを発見し、これを機にBTMobを初めて公に文書化しました。
その後、バージョン4.5.7および4.6のソースコードパッケージが流出し、Androidペイロード、ドロッパー、Windows用オペレーターパネル、PHP/MySQLバックエンド、WebSocketサーバー、自動APKビルダーなど、完全なクライムウェアツールキットの全容が明らかになりました。
BTMobは、感染したAndroidデバイスを、一般的にポート8080で設定されたWebSocketエンドポイントへ接続します。
マルウェアがサーバーへ定期的に指示を求める従来のポーリング方式とは異なり、WebSocket通信は持続的な双方向チャネルを実現します。これにより、オペレーターはほぼ遅延なくコマンドを送信し、デバイスのデータを受信できます。
このマルウェアのアーキテクチャには、Node.jsとExpressをベースとしたWebSocketサーバーが含まれており、バックエンドには/yaarsa/private/ディレクトリ配下に格納されたPHPハンドラーが存在します。
研究者らは、idf、sidf、cip、itype:"Slr_client"といったWebSocketのJSONフィールドを含むネットワークパターンや、ws://<server>:8080/conに類似した接続を観測しています。
C2インフラは、同一ホスト上で複数のサービスを公開できる構造になっています。実際に確認されたある設定では、ポート80がデフォルトのWindows IISページを提供し、ポート3000は偽の「403 Forbidden」ページをホストし、ポート3306はMySQLを公開し、ポート8080はWebSocketトラフィックを処理し、ポート3389はリモートデスクトッププロトコル(RDP)アクセスを可能にしていました。
この偽のエラーページは、脅威ハンティングを行う者にとって特に有用です。このページはApacheのエラーを模倣し、5秒後に訪問者をGoogleへリダイレクトすると表示しますが、Shodanのフィンガープリントhttp.html_hash:-983012381 port:3000と関連付けられています。
このシグネチャは、防御側が潜在的なBTMobインフラを特定する助けになりますが、サーバーをこのマルウェアに帰属させる前にさらなる検証が必要です。
BTMobは単純なRATにとどまりません。流出したソースコードによると、オペレーターはアプリケーション名、アイコン、C2アドレス、パーミッションを選択することで、カスタマイズした悪意あるAPKを生成できます。
このツールキットは、再販機能、アクティベーションコード、暗号資産による支払い、ホワイトラベル化にも対応しています。
攻撃者は、フィッシングページ、偽のGoogle Playストアサイト、WhatsAppを利用したソーシャルエンジニアリングによってBTMobを配布してきました。
ブラジルでは、銀行、物流企業、ストリーミングサービス、政府系プラットフォーム、ポイントプログラムを装ったキャンペーンが報告されています。
quimeraxによると、一部の被害者は個人情報を含む説得力のあるメッセージを受け取った後、音声通話で説得され、身元不明のソースからAPKファイルをインストールさせられたということです。
注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的にディフェング処理(例: [.])を施しています。再度有効化する場合は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を完全に確保し、SOCを強化してMTTRを短縮しましょう
翻訳元: https://cyberpress.org/btmobs-websocket-c2-theft/
