BTMOBは、従来型のAndroidバンキング型トロイの木馬から、犯罪者がブランド化されたフィッシングアプリを構築し、感染したスマートフォンを遠隔操作し、窃盗を自動化できる「ワンストップ詐欺プラットフォーム」へと進化を遂げました。
その登場は、流出したマルウェアのソースコードとローコードツールが、モバイル詐欺をスケーラブルなフランチャイズビジネスへと変貌させつつある実態を物語っています。
マルウェア除去ツール
悪意のあるlnat-tv-pro.apkサンプルはWebSocket経由でserver[.]yaarsa[.]com/conに接続し、このマルウェアの識別子「BT-v2.5」が明らかになりました。
研究者らはBTMOBをSpySolrファミリーと関連付けており、さらに遡るとCraxsRAT.malpedia.caad.fkieに系譜が行き着くとしています。
この系譜は重要な意味を持ちます。CYFIRMAは以前、CypherRATとCraxsRATの開発を、シリアを拠点とするマルウェア・アズ・ア・サービス業者であるEVLF(EvilWolfまたはEVLF DEVとしても知られる)に帰属させていました。
研究者によれば、100を超える脅威アクターがこれら初期のAndroid RAT製品のライセンスを購入しており、これがBTMOBの後の拡大に向けた既存の顧客基盤と商業モデルの土台を提供したとされています。
BTMOBの最も危険な機能は、単なる認証情報の窃取にとどまりません。被害者が武器化されたアプリケーションをサイドロードし、ユーザー補助(アクセシビリティ)サービスの権限を付与すると、攻撃者はデバイスを遠隔操作し、キーストロークの記録、スクリーンショットの取得、ファイルの窃取、音声の録音、画面ロックの解除、さらにはWebオーバーレイの展開によるバンキング認証情報の窃取まで行えるようになります。
WebSocketベースのコマンド&コントロールにより、ほぼリアルタイムでの操作が可能となり、バンキング型トロイの木馬と本格的なモバイル遠隔操作ツールとの境界が曖昧になっています。
このプラットフォームの運用モデルは、Android開発の知識がほとんどない犯罪者でも扱えるよう設計されています。
流出したBTMOBのパッケージには、Androidペイロード、ドロッパー、VB.NET製のデスクトップパネル、PHP/MySQL製のバックエンドコンポーネント、そしてAPKビルドワークフローが含まれているとされています。
この構成により、運用者はアプリケーション名、アイコン、サーバーアドレス、権限、誘導文言をカスタマイズしたうえで、配布用のAPKを生成できます。
単一の悪意あるパッケージに依存するのではなく、アフィリエイトは動画配信サービス、荷物追跡ツール、バンキングセキュリティモジュール、SNSアプリケーションなどのローカライズされた偽アプリを迅速に量産できます。
キャンペーンのソーシャルエンジニアリング層は、標的とする市場、言語、決済システム、信頼されているブランドに合わせて調整可能です。
QuimeraXの研究者によれば、BTMOB v2.5はトルコの動画配信サービスiNat TVになりすましたフィッシングサイトを通じて拡散されていました。
BTMobはカスタムフィッシングアプリを使用
BTMOBの活動は、Androidバンキング詐欺を支える成熟した犯罪エコシステムがすでに存在するブラジルにおいて、特に顕著となっています。
ESETによると、ブラジルを対象とした検知結果から、BTMOBは幅広い遠隔操作機能とキャンペーン即応型のツール群を組み合わせており、攻撃者は金融取引の傍受だけでなく、データの窃取、被害者の行動監視、デバイスの制御まで可能にしていることが判明しています。
実際のキャンペーンでは、偽のGoogle Play風のページ、WhatsApp経由で配信されるAPK、配送追跡を装った誘導文言、バンキングを名目とした「セキュリティアップデート」などが用いられています。
攻撃者の狙いは、被害者にアプリケーションをサイドロードさせ、ユーザー補助権限を承認させることにあります。この2つの操作により、デバイスの制御が事実上詐欺の運用者に渡ってしまいます。
この手口の転換は重要な意味を持ちます。詐欺実行者はもはや自らマルウェアを開発したり、独自のフィッシングキットを維持したり、Androidのパッケージング技術を理解したりする必要がなくなったのです。
マルウェア除去ツール
このサイトはPlayストアのレイアウト、ブランディング、インストールの流れを再現し、Nubank、TikTok、さらには偽のGov.BR(政府サービス)まで、ブラジルで人気の各種アプリになりすましたページを配信しています。
BTMOBのツール群がペイロードと配信のカスタマイズを提供する一方、アフィリエイトは被害者の獲得、ビッシング、窃取データの精査、そして換金に注力しています。
セキュリティチームは、WhatsApp、SMS、あるいは複製されたアプリストアページを経由する予期しないAPKの配信を、特に提供元不明のアプリからのインストールやユーザー補助アクセスを要求する誘導が伴う場合には、高リスクとして扱うべきです。
BTMOBは、操作の自動化と認証情報の窃取をユーザー補助権限に依存しているため、この権限は制限し、監査対象とする必要があります。
防御側にとって、BTMOBの初期のC2パターンは今なお有用です。初期のサンプルはyaarsaという命名規則のインフラとWebSocket通信を使用していました。
脅威ハンティングを行う担当者は、不審なAndroidアプリのインストール、予期しないユーザー補助機能の有効化、外向きのWebSocket通信、そして偽アプリポータルに関連するドメインを相互に関連付けて分析すべきです。
Cybleは、2025年1月下旬の発見から数週間のうちに、約15件のBTMOB v2.5サンプルが流通していることを確認しており、当初から活発かつ継続的な開発が行われていたことを示しています。
BTMOBは、商品化されたモバイルマルウェアがもたらす広範なリスクを浮き彫りにしています。高機能なRATであっても、カスタマイズ可能な製品としてパッケージ化され、アフィリエイトを通じて再販され、被害者の目には正規のものに見える巧妙なアプリケーションを通じて配布されると、はるかに大きな被害をもたらすようになるのです。
侵害指標(Indicators of Compromise)
| 指標 | 値 |
|---|---|
| Shodanドーク(C2) | http.html_hash:-983012381 port:3000 |
| Shodanドーク(バイパスパネル) | html:"painel de controle elite" |
| html_hash(偽403、ポート3000) | -983012381 |
| C2ポートの特徴 | 80(IIS)、3000(Node.js/Express)、3306(MySQL)、8080(WebSocket)、3389(RDP) |
注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無効化表記(例: [.])としています。再度有効な形式に戻す場合は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内でのみ行ってください。
[ライブウェビナー] Elastic&UnderDefenseと共に、小規模なセキュリティチームがAIの可視性とエージェント型対応を単一の運用モデルへと統合する方法を学びましょう。 -> 今すぐ登録
翻訳元: https://gbhackers.com/btmob-uses-custom-phishing-apps/
