[业内新闻动态] [【转载】] BTMOB：一款隐蔽的远程控制木马，能够深入安卓设备内部。

BTMOB概览

BTMOB最早于2025年2月被发现，它源自SpySolr恶意软件。与“仅”旨在窃取用户财务凭证或拦截其金融交易的银行木马不同，BTMOB为攻击者提供了更广泛的选择：窃取各种敏感数据、截取屏幕截图并记录设备上的活动，最终实现对设备的远程控制。该远程访问木马（RAT）还附带一个APK构建器界面，允许任何人快速生成新的有效载荷，并针对特定地区调整钓鱼诱饵——而且无需编写任何代码。

图 1. BTMOB APK 创建工具

BTMOB是如何传播的？

不出所料，一切都始于普通的社会工程攻击。攻击者将受害者引诱到伪装成流媒体服务、加密货币挖矿平台或其他常见在线服务的钓鱼网站。之后，受害者会被引导至模仿合法应用商店的虚假应用商店，并被诱导安装恶意APK文件。此外，还有不法分子被发现会针对特定地区定制诱饵。 安装完成后，BTMOB 会寻求对设备的广泛访问权限。如今，这种恶意软件常常滥用 Android 辅助功能服务来获取更高的权限，并在无需用户交互的情况下授予自身更多系统访问权限。

图 2. 虚假应用商店和恶意应用。 由于 BTMOB 是为恶意软件即服务 (MaaS) 经济模式而设计的，因此它被作为一款软件产品进行销售，包括通过开放网络上的推广页面将潜在买家引导至 Telegram 运营商。销售渠道还延伸至其他社交媒体平台，X 和 Instagram 上的多个账户都在积极推销这款工具。

图 3. BTMOB 在公开网络上的报价

图 4. 与恶意软件关联的 X 配置文件

一旦有人购买了恶意工具包，他们就可以修改其中的功能，包括钓鱼诱饵，从而冒充最有可能在任何特定国家/地区诱骗受害者的品牌或机构。例如，研究人员Johnk3r和Merl最近发现了一些活动，这些活动冒充阿根廷税务和海关部门传播 BTMOB 恶意软件。

图5. BTMOB冒充阿根廷政府机构。

市场动态和检测挑战

即使开发者最初将该工具限制为付费用户使用，攻击者从中获利依然可观。据报道，5000美元的终身许可费加上每月支持费，与一次成功的诈骗行动所能带来的收益相比，简直微不足道。 此外，MaaS模式也降低了技术水平较低的攻击者的门槛。2026年1月，一个暗网论坛声称提供与BTMOB相关的文件免费下载。该论坛随后下线，我们的搜索也未能找到有效载荷，但这一事件凸显了商业恶意软件的一个常见风险：访问权限很少能永远被限制，恶意软件可以通过转售、易货或在封闭群组内共享等方式流入二级市场。其他恶意软件家族也可能复制某些元素，从而简化技术水平较低的犯罪分子对有效载荷的定制和攻击活动管理。 由于新变种可以快速生成，防御者应预期有效载荷会迅速更迭，而非面临稳定的威胁。ESET 产品将主要工具检测为 MSIL/BtmobRat，而相关的 Android 变种则会触发诸如 Android/Spy.Agent.EED、Android/Spy.Agent.EIJ 和 Android/Spy.Agent.EIK 等检测。Cyble在 2025 年 2 月发布的报告指出，自当年 1 月下旬以来，短短两周内就发现了大约 15 个 BTMOB v2.5 样本。

如何保护自己

掌握一些基本技巧，就能有效避免 BTMOB 和其他安卓恶意软件的侵害：

• 坚持使用官方应用商店：攻击者依赖于模仿 Google Play 的虚假应用商店。各组织应强制要求用户仅从官方仓库下载软件。
• 对链接保持警惕：对通过电子邮件、即时通讯应用、社交媒体和定向广告发送的未经请求的链接保持怀疑。
• 使用安全软件：个人和组织都应使用移动安全解决方案，并像对待其他机器和环境一样严格对待移动设备。企业安全团队必须让员工明白，一次恶意下载就可能泄露公司的核心数据。

妥协的迹象

由于 BTMOB 变异迅速，许多指标可能很快过时。尽管如此，特定的基础设施模式往往会在不同的样本中重复出现，并有助于进行分类。

IP地址

哈希值 - SHA256

ESET 检测名称

看了下这个BTMOB，整体没啥惊喜，就是MaaS套件的标准模板。核心链路跟之前Anubis、Cerberus那批没本质区别——钓鱼站引流、假应用商店落地、Accessibility服务提权，这套打法从Android端RAT流行起来就没换过。真正有"进步"的是把builder做成可视化、零代码，加上地区化钓鱼模板，这两点直接把使用门槛拉到小学生水平。

几个值得关注的点：

1. 分发渠道走TG+X+IG而不是暗网，说明运营思路是想做长线品牌，吸引低水平买家走量，而不是传统黑产那种一锤子。这种趋势一旦成型，二进制泄露只是时间问题，暗网论坛那波已经印证了。

2. 5000刀终身+月费，价格卡在中等区间，比早期的SpyNote、xkBot便宜不少，目标用户群明显是想试水的新人运营。

3. Accessibility滥用依然是Android端最稳的提权路径。只要厂商不彻底收紧这块授权，类似工具基本没法根除，这点对研究样本的人来说意味着不管版本怎么换，行为特征都比较稳定。

4. 附件里那些SHA256和IP可以直接喂给本地沙箱跑一遍，看看C2通信是HTTP/WebSocket/MQTT，加密走的是什么，payload下发协议有没有固定魔数。这种MaaS builder出来的样本通信结构通常高度模板化，拿到一份基本就能通杀同家族。

另外提一句，Salesperson提到的那个APK builder本身就是高价值样本——比分析最终payload更有意义的是分析builder本身，能看出配置项、支持的模块、地区化模板结构，这种东西泄露出来对做防御样本库的人来说是宝贝。建议有渠道的优先搞builder而不是单个APK。