Ecossistema clandestino do BTMOB RAT se fragmenta em revendedores e clones no submundo
Uma investigação da Flare em milhares de posts de fóruns underground mostra como o RAT Android BTMOB, antes vendido por uma única operação, virou um mercado disputado por revendedores, vendedores de código-fonte e cópias piratas mais baratas. O malware combina controle remoto do smartphone com kits de phishing e roubo de credenciais, reduzindo a barreira técnica para criminosos aplicarem fraude bancária móvel em escala.
A pesquisa da empresa de inteligência de ameaças Flare mapeou a trajetória comercial do BTMOB, um trojan de acesso remoto (RAT) para Android oferecido como malware-as-a-service em canais do Telegram. O que começou como um produto único, vendido por um operador central, evoluiu para um ecossistema fragmentado: hoje coexistem o desenvolvedor original, revendedores autorizados, vendedores que comercializam o código-fonte completo e até falsificadores que vendem versões piratas mais baratas — um padrão comum de "comoditização" de malware que também se observou em famílias de trojans bancários anteriores.
Tecnicamente, o BTMOB entrega aos operadores controle remoto do aparelho infectado, um painel de gestão em Windows e, o que mais interessa do ponto de vista de fraude, ferramentas embutidas de phishing e roubo de credenciais. Isso permite que o criminoso não apenas monitore a vítima, mas também induza a digitação de senhas e códigos de segunda autenticação em telas falsas sobrepostas a aplicativos legítimos — o mesmo mecanismo usado por trojans bancários Android para account takeover.
O modelo de preços encontrado nos fóruns (de licenças vitalícias por poucas centenas de dólares a pacotes de código-fonte por dezenas de milhares) mostra que o acesso a essa capacidade está cada vez mais barato e ao alcance de operadores com pouca sofisticação técnica, o que tende a aumentar o volume de campanhas de fraude móvel golpeando usuários finais, mesmo que cada operador individual seja pequeno.
Para equipes antifraude, o sinal relevante não é uma campanha específica, mas a proliferação de variantes: assinaturas estáticas e indicadores de comprometimento de uma versão do BTMOB tendem a não cobrir os clones vendidos por terceiros. Defesa eficaz passa por detecção comportamental no app bancário (uso de overlay, permissões de acessibilidade, gravação de tela) em vez de depender só de bloqueio por hash ou domínio de C2 conhecido. Para o usuário final, a recomendação de sempre é instalar apps apenas de lojas oficiais e desconfiar de permissões de acessibilidade solicitadas por aplicativos que não deveriam precisar delas.