Android cihazları hedef alan yeni bir uzaktan erişim truva atı (RAT) olan BTMOB, kullanıcıların hiçbir kod yazmadan kendi özel zararlı yazılımlarını oluşturmasına olanak tanıyan bir araçla birlikte geliyor. ESET'in yeni analizine göre, bu kötü amaçlı yazılım, Brezilya ve çevresindeki ülkelerde düzenlenen phishing kampanyaları aracılığıyla yayılıyor. BTMOB, Şubat 2025'te ilk kez belgelenmiş olup, önceki SpySolr ailesinden evrimleşmiş ve tipik bir bankacılık truva atının ötesine geçerek tam bir cihaz ele geçirme yeteneği sunuyor.
BTMOB'u diğerlerinden ayıran en önemli özellik, ticari bir paket olarak sunulması. RAT, bir APK oluşturma arayüzü ile birlikte geliyor ve alıcıların hiçbir kodlama bilgisi gerektirmeden hızlıca yeni zararlı yazılımlar üretmesine ve phishing tuzaklarını belirli ülkelere göre uyarlamasına olanak tanıyor. Dağıtım, tanıdık bir sosyal mühendislik modeli izliyor: Operatörler, kurbanları akış hizmetleri, kripto madenciliği platformları veya diğer tanınmış markalar gibi görünen sahte sitelere yönlendiriyor, ardından onları kötü amaçlı bir APK yüklemeye teşvik eden sahte uygulama mağazalarına yönlendiriyor.
Cihaza yüklendikten sonra BTMOB, Android'in Erişilebilirlik Hizmetlerini kötüye kullanarak kendi izinlerini yükseltiyor ve kullanıcı etkileşimi olmadan daha derin sistem erişimi elde ediyor. Araştırmacılar, bu aracın yerel kurumları taklit etmek için uyarlandığını, örneğin Arjantin'in vergi ve gümrük yetkililerini taklit eden kampanyalar tespit ettiklerini belirtiyor.
Gelecekte Ne Bekleniyor?
BTMOB, hizmet olarak kötü amaçlı yazılım (MaaS) modeliyle satılıyor. Bir web sayfası üzerinden tanıtılan yazılım, alıcıları Telegram üzerinden bir operatöre yönlendiriyor; ayrıca X ve Instagram'da satıcı hesapları bulunuyor. ESET, 5.000 dolarlık ömür boyu lisans ve aylık destek ücretinin, başarılı bir dolandırıcılık operasyonunun getirisine kıyasla mütevazı olduğunu ve bu hizmet modelinin daha az yetenekli suçlular için engeli düşürdüğünü belirtiyor.
Bu ekonomik mantık aynı zamanda kontrolü de zorlaştırıyor. Ocak 2026'da, bir dark web forumunda BTMOB dosyaları ücretsiz olarak reklam edildi ve ardından forum kapatıldı. Bu, ticari kötü amaçlı yazılımların, yeniden satış ve paylaşım yaygınlaştığında genellikle ödeme yapan müşterilere kilitli kalmadığını hatırlatıyor. Yeni varyantlar çok hızlı üretilebildiğinden, ESET savunmacıları sabit bir örnek seti yerine hızlı bir yük devri beklemeleri konusunda uyarıyor.
ESET, kullanıcılara yalnızca resmi mağazalardan uygulama yüklemelerini, istenmeyen bağlantılara şüpheyle yaklaşmalarını ve diğer cihazlarda uyguladıkları titizlikle mobil güvenlik yazılımı kullanmalarını tavsiye ediyor. Şirket, "Kurumsal güvenlik ekipleri, çalışanlarına tek bir kötü niyetli indirmenin şirketin en değerli varlıklarını tehlikeye atabileceğini açıkça belirtmelidir" diyerek uyarısını sonlandırıyor.
Kaynak: infosecurity-magazine.com
