BTMOB ist nach Angaben von Flare in erster Linie ein Android-RAT: Die schädliche App wird auf dem Smartphone eines Opfers installiert, um Informationen zu stehlen und Fernzugriff zu ermöglichen. Verkauft wird das Paket als Malware-as-a-Service. Kunden erhalten damit nicht nur die Malware selbst, sondern auch Werkzeuge, um schädliche Android-Anwendungen zu konfigurieren und zu erstellen, ohne sie von Grund auf selbst entwickeln zu müssen. Je nach Paket gehören dazu auch Server-Zugänge, angepasste Varianten und technischer Support.
In einer frühen Phase bewarb der offenkundig offizielle Kanal im Januar 2025 BTMOB V2 für 700 US-Dollar pro Monat, 3.000 US-Dollar für eine lebenslange Lizenz oder 5.000 US-Dollar zuzüglich monatlicher Zahlungen für private Infrastruktur und Support. Weniger als einen Monat später meldete der Betreiber Serverfehler. Nach eigener Darstellung waren mehr als 4.000 Mobilgeräte verbunden; zugleich sei unklar gewesen, ob der starke Datenverkehr auf Kundenaktivität oder einen DDoS-Angriff zurückging. Flare betont, dass sich diese Angaben nicht verifizieren ließen, sieht darin aber einen Einblick in den frühen Betrieb mit gemeinsam genutzter Infrastruktur und zentraler Kundenkommunikation.
Im Mai 2025 bot der Kanal dann den vollständigen BTMOB-Quellcode samt Einrichtungsanleitungen für 20.000 US-Dollar an. Das Paket umfasste laut Flare die Server-Komponenten in PHP und Node.js, das Kontrollpanel in VB.NET sowie den Android-Code in Java. Der Betreiber erklärte später, der Verkauf des Quellcodes solle Gewinne bringen, Kunden eine Prüfung des Codes ermöglichen und zugleich individuelle oder alternative Versionen erlauben, ohne die Weiterentwicklung des ursprünglichen Dienstes zu beenden.
Gleichzeitig zeigten sich Brüche innerhalb der Struktur. Ein Support-Kanal in spanischer und portugiesischer Sprache teilte mit, Server seien wegen eines Streits mit zwei früheren Administratoren vorübergehend offline. Der Kanal setzte Verkäufe aus und warf den beiden vor, nicht nach Treu und Glauben zu handeln. Im Juli erklärte der Hauptkanal, seine Administratoren würden künftig unabhängig arbeiten und selbst für ihre Kunden und ihren Ruf verantwortlich sein. Zudem hieß es, ein brasilianischer Administrator habe den Quellcode gekauft und pflege eine separate Version.
Später fiel der beworbene Preis für den Quellcode auf 10.000 US-Dollar. Als BTMOB V4 im Dezember erschien, stellte das öffentliche Angebot lebenslangen Zugang, private Server, angepasste Versionen und wiederkehrende Gebühren in den Vordergrund. Kunden wurde zudem mitgeteilt, dass für die Migration von V3 Kontakt mit dem Betreiber nötig sei.
Parallel dazu beobachtete Flare eine koordinierte Telegram-Kampagne für BTMOB V4.1.2 und V4.2. In einer Anzeige wurde lebenslanger Zugang für 500 US-Dollar angeboten, der „Quellcode von RAT und Serverdateien“ für 1.500 US-Dollar. Interessenten sollten sich an @thebtmobadmin und @btmobportal wenden. Die Anzeige tauchte mit weitgehend identischem Wortlaut, denselben Preisen und denselben Kontakten in mehreren Telegram-Gruppen und über verschiedene Konten hinweg auf. Eine spätere Variante bewarb angeblichen Zugang zu V4.5.4 zu ähnlichen Preisen, allerdings mit einem anderen Kontakt.
Der Hauptkanal erklärte am 26. April, es gebe nur einen offiziellen Kanal; für andere Konten, die vorgäben, das Projekt zu vertreten, übernehme man keine Verantwortung. Weitere Akteure boten verschiedene BTMOB-Versionen zu noch niedrigeren Preisen an, darunter Wochen-, Monats- und Lebenszeitmodelle sowie angeblichen Quellcode. Andere Anzeigen warben damit, Käufer könnten selbst zu BTMOB-Verkäufern werden, indem sie günstige Benutzer- oder Administrator-Panels erwerben. Flare weist ausdrücklich darauf hin, dass keine dieser Anzeigen die Echtheit der Dateien belegt. Es könne sich um echtes Reselling oder modifizierte Versionen handeln, ebenso aber um umgepackte Software, nicht funktionsfähige Dateien oder Betrug.
Der Hauptkanal veröffentlichte BTMOB V4.1 im Februar 2026 und V4.5 im April. Für V4.5 wurden ein lebenslanges Konto für 1.200 US-Dollar, ein privater Server mit mehreren Konten für 3.000 US-Dollar oder Server-Quellcode für 7.000 US-Dollar beworben. Flare wertet das als Hinweis darauf, dass der Verkauf von Infrastruktur-Code weiterhin Teil des offiziellen Geschäfts gewesen sein könnte, wenn auch in engerem und günstigerem Zuschnitt als das Komplettpaket aus dem Jahr 2025. Zudem führte V4.5 mehrere Server-Standorte und eine zentrale Seite zur Verwaltung mehrerer Server ein.
Flare kommt zu dem Schluss, dass BTMOB nicht mehr für einen einzelnen Betreiber, eine einheitliche Infrastruktur oder ein klar definiertes Serviceniveau steht. Was als etablierter MaaS-Betrieb begonnen habe, sei zu einem Gemisch aus unabhängig verwalteten Versionen, günstigeren Kopien, konkurrierenden Vertriebskanälen und Angeboten unklarer Legitimität geworden.