Malware cria apps falsos, rouba credenciais e permite operar o celular da vítima à distância.
O BTMOB deixou de ser apenas um trojan bancário para Android e passou a operar como plataforma de fraude. Criminosos montam aplicativos falsos com nome, ícone e tema personalizados, convencem a vítima a instalar o APK e, depois das permissões sensíveis, controlam o celular remotamente.
O BTMOB nasceu como malware bancário para Android e evoluiu para algo mais preocupante: uma estrutura comercial de fraude. Em vez de depender de um único aplicativo malicioso, ele entrega ao criminoso um kit para gerar apps falsos, distribuir o golpe e operar aparelhos infectados à distância.
O caso analisado envolveu o arquivo lnat-tv-pro.apk, que se conectava ao endereço server[.]yaarsa[.]com/con por WebSocket e expunha o identificador “BT-v2.5”. Pesquisadores também associaram o BTMOB à família SpySolr, com ligação mais ampla ao CraxsRAT — linhagem cujos produtos anteriores teriam sido licenciados para mais de 100 atores de ameaça.
Tudo começa quando a vítima instala um APK fora de canais confiáveis, longe do Google Play. No exemplo documentado, o BTMOB v2.5 chegou por um site de phishing que imitava o serviço turco de streaming iNat TV. Concluída a instalação, o aplicativo insiste para que a pessoa libere as permissões de Acessibilidade.
Com essa autorização em mãos, o operador passa a manipular o aparelho: registra toques no teclado, tira capturas de tela, coleta arquivos, grava áudio, desbloqueia o dispositivo e exibe páginas falsas sobre aplicativos legítimos. É assim que credenciais de bancos como Itau e Nubank acabam nas mãos do criminoso.
A escala é o que muda o jogo. Os pacotes vazados do BTMOB incluiriam payload Android, dropper, painel desktop em VB.NET, backend em PHP/MySQL e um fluxo para montar APKs. Resultado: nome, ícone, servidor, permissões e tema visual do golpe são configurados sem que o operador precise saber desenvolver para Android.
Alguns comportamentos pedem desconfiança imediata, sobretudo em celulares usados para banco, trabalho ou autenticação. Vale checar cada um deles antes de tocar em “instalar”:
A melhor defesa é interromper o golpe antes da instalação. Usuários devem descartar APKs recebidos por mensagem ou baixados de sites desconhecidos, sem exceção. Empresas precisam deixar explícito na política que celulares com acesso corporativo não instalam aplicativos de fora do Google Play.
Revisar permissões já concedidas é o segundo passo. Se um aplicativo sem função legítima aparece usando Acessibilidade, microfone, arquivos ou sobreposição de tela, remova o app e troque as senhas dos serviços acessados naquele aparelho. Em ambientes corporativos, a MFA2GO recomenda combinar autenticação forte, gestão de acesso e políticas claras de dispositivo, para que uma credencial vazada não se transforme em acesso válido.
O material analisado descreve o BTMOB como ameaça voltada ao Android, distribuída por APKs falsos e dependente de permissões concedidas pela própria vítima.
Porque ela permite que um app observe e interaja com a tela em nome do usuário. No BTMOB, isso viabiliza controle remoto, captura de dados e sobreposição de páginas falsas.
Não. A vítima é conduzida por engenharia social, como um site falso de streaming. O risco cresce quando ela instala o APK e aceita permissões sem checar a origem.
Casos como o BTMOB mostram que uma senha roubada no celular pode virar acesso indevido a sistemas corporativos. A MFA2GO ajuda sua empresa a aplicar autenticação forte, controlar acessos e limitar o impacto de credenciais comprometidas.
Conheca: Cofre Corporativo de MFA, Gestao de Acesso, Autenticacao Forte. mfa2go.com
Fontes:
https://gbhackers.com/btmob-uses-custom-phishing-apps/