Das Android-Remote-Access-Trojanertum BTMOB stellt eine neue Stufe der Malware-Professionalisierung dar. Sicherheitsforscher der Firma ESET haben dokumentiert, dass die Schadsoftware offen im Clearweb als Dienstleistung vermarktet wird – komplett mit benutzerdefinierten Bausteinen für die Payload-Erstellung.
Funktionsumfang und Geschäftsmodell
Das System erlaubt es Kriminellen, eine Vielzahl von Funktionen zu konfigurieren: Selective Data Stealing, Abfangen von Finanztransaktionen, Screenshot-Erfassung und volle Fernsteuerung des Geräts. Das APK-Builder-Tool ermöglicht es, Berechtigungen zu definieren, die die App beim Installieren anfordert, und Verhaltensweisen festzulegen – etwa das Deaktivieren von Google Play, das Verbergen des App-Icons oder die Sperrung des Ruhemodus.
Vertrieben wird BTMOB über private Telegram-Kanäle. Das Preismodell ist einfach: 700 Dollar monatlich im Abo oder 5.000 Dollar für lebenslange Nutzung. Diese Preisstrategie macht die Malware auch für Kleinkriminelle zugänglich.
Verbreitungswege und Lure-Techniken
Die Malware wird über täuschend echte Phishing-Websites verbreitet, die als Streaming-Dienste oder Krypto-Mining-Plattformen getarnt sind. Opfer werden auf gefälschte Google-Play-Portale weitergeleitet. Besonders bemerkenswert: BTMOB-Kampagnen haben bereits argentinische Regierungsbehörden als Köder missbraucht – ein Indiz für gezielte, lokal angepasste Angriffe.
Einmal installiert, nutzt die Malware Android Accessibility Services, um sich erweiterte Berechtigungen zu sichern, ohne dass der Benutzer weitere Interaktionen durchführen muss.
Entwicklungsstand und Ursprünge
BTMOB ist nicht völlig neu. Das Sicherheitsunternehmen Cyble dokumentierte es bereits als fortgeschrittene Malware, und ANYRUN analysierte es im Februar 2025. Es scheint eine Evolution der SpySolr-Malware-Familie zu sein. Die Tatsache, dass Cyble in zwei Wochen etwa 15 Samples von BTMOB 2.5 identifizierte, deutet auf aktive Entwicklung hin.
Abwehrmaßnahmen und Risiken
Obwohl ESET die Bedrohung verfolgt und Erkennungsregeln regelmäßig aktualisiert, untergräbt die schnelle Generierung neuer Payloads die Wirksamkeit statischer Abwehrmaßnahmen. Das BSI empfiehlt deutschen Nutzern:
– Apps ausschließlich aus dem offiziellen Google Play Store installieren – Google Play Protect aktivieren und nutzen – Gefährliche Berechtigungen wie Accessibility Services restriktiv vergeben
Für Unternehmen bedeutet ein erfolgreicher Angriff nicht nur finanzielle Verluste, sondern auch Datenschutz-Meldepflichten und potenzielle DSGVO-Bußgelder.