1. BTMob is een Android banking malware platform dat is geëvolueerd van een voorheen meer gecentraliseerde tool voor toegang op afstand tot een gefranchiseerd platform voor fraudeproductie. Dit verlaagt de inspanningen die nodig zijn voor het lanceren van campagnes voor apparaatovername.
2. Het platform wordt verkocht als een dienst, waardoor verschillende operatoren hun eigen versies kunnen creëren en verspreiden. Deze versies kunnen lokale taalvarianten, bekende merknamen en frauduleuze betalingsacties bevatten, wat het traceren van campagnes bemoeilijkt omdat operatoren code kunnen delen maar aparte servers gebruiken.
3. Het BTMob-platform omvat een kwaadaardige Android-app, een dropper, een desktop controlepaneel, een server backend en een geautomatiseerde APK-builder. Operators kunnen een appnaam, pictogram, serveradres en gevraagde machtigingen invoeren, waarna een kant-en-klaar pakket wordt gegenereerd. Deze productielijnachtige opzet lijkt op andere betaalde Android-spywarediensten die infectietools voor klanten samenstellen.
4. De broncode-analyse van BTMob wijst ook op een resellersysteem dat accounts en activeringscodes kan aanmaken, wat bijdraagt aan de verspreiding van de operatie buiten de oorspronkelijke ontwikkelaar.
5. BTMob wordt gekoppeld aan eerdere malwarefamilies zoals CraxsRAT en SpySolr. De waarde voor criminelen ligt echter in het bedrijfsmodel, waarbij broncode, brandingopties en infrastructuur kunnen worden hergebruikt door veel onafhankelijke groepen.
6. Analisten van QuimeraX identificeerden een brede, actieve infrastructuur achter de operatie na onderzoek van gelekte BTMob-bronpakketten en blootgestelde servers. Een Shodan-zoekopdracht naar de kenmerkende valse foutpagina van BTMob vond 1.402 hosts op poort 3000. Onderzoekers verifieerden verschillende systemen als volledige BTMob command-and-control servers, waaronder een host die web-, database-, remote desktop- en WebSocket-services blootlegde.
7. Slachtoffers bereiken BTMob doorgaans via valse apps, gekloonde downloadpagina's en berichten die lijken op routineklantenservice. Eenmaal geïnstalleerd, kan BTMob criminelen toegang geven om schermen te bekijken, informatie te stelen en bankactiviteiten te beïnvloeden.
8. Slachtoffers worden vaak buiten de officiële app stores geleid om BTMob te installeren. QuimeraX documenteerde pagina's die zich voordeden als Google Play, pakketvolgdiensten, streamingdiensten, bankbeveiligingstools en overheidsdiensten. Dergelijke pagina's tonen verzonnen beoordelingen en recensies om de download veilig te laten lijken, een bekend patroon bij frauduleuze Play Store-downloads.
9. De gerapporteerde activiteiten omvatten zeer gerichte aanvallen in Brazilië. In één geval begonnen aanvallers met een WhatsApp-profiel dat de branding van een retailer en nauwkeurige slachtoffergegevens gebruikte. Een valse virtuele assistent bood een loyaliteitsupgrade aan, waarna een beller het slachtoffer begeleidde bij het inschakelen van installaties van onbekende bronnen. De kwaadaardige APK werd kort na het telefoongesprek via WhatsApp verzonden. Deze combinatie verandert een vertrouwde chat in een overtuigende methode voor financiële diefstal, vergelijkbaar met tactieken achter valse KYC bankfraude.
10. Een frauduleuze app kan van week tot week anders lijken, terwijl het onderliggende controlesysteem en de apparaatmachtigingen accountdiefstal en ongeautoriseerde overschrijvingen mogelijk blijven maken.
11. De impact voor banken, mobiele providers en consumenten is een groeiend aantal aanpasbare campagnes.
12. Gebruikers moeten ongevraagde verzoeken om een APK te installeren, Toegankelijkheidsdiensten in te schakelen of instellingen voor onbekende apps te wijzigen, beschouwen als waarschuwingssignalen. Financiële, overheids- en bezorgapps moeten alleen via geverifieerde winkels of officiële websites worden gedownload. Organisaties moeten onafhankelijk worden gecontacteerd met een betrouwbaar nummer als een bericht of beller dringende actie claimt.
13. Beveiligingsteams kunnen zoeken naar de stabiele BTMob-serverpatronen en geïdentificeerde infrastructuur blokkeren, terwijl ze ongebruikelijk WebSocket-verkeer en sideloaded applicaties monitoren. De blootgestelde opzet helpt verdedigers, maar onthult niet hoeveel slachtoffers geïnfecteerd waren of welke gegevens zijn gestolen.