BTMOB: nuevo troyano Android MaaS amenaza a Latinoamérica

El ecosistema de amenazas móviles continúa evolucionando rápidamente y los ciberdelincuentes están apostando cada vez más por plataformas de malware como servicio (MaaS) para expandir sus operaciones. Uno de los casos más recientes y peligrosos es BTMOB, un troyano de acceso remoto para Android que se comercializa abiertamente entre actores maliciosos y que ya está siendo utilizado en campañas de phishing dirigidas principalmente a usuarios de Brasil y América Latina.

Investigadores de la firma de ciberseguridad ESET han advertido que BTMOB ofrece capacidades avanzadas de espionaje, robo de datos y fraude financiero, además de incluir una interfaz constructora que permite a los delincuentes generar cargas maliciosas personalizadas sin necesidad de conocimientos de programación.

La amenaza representa un nuevo nivel de sofisticación dentro del panorama de malware móvil, especialmente porque facilita el acceso a herramientas avanzadas de ataque para ciberdelincuentes con poca experiencia técnica.

¿Qué es BTMOB y cómo funciona?

BTMOB es un troyano de acceso remoto (RAT) diseñado específicamente para dispositivos Android. Su principal objetivo es comprometer teléfonos móviles mediante aplicaciones falsas distribuidas a través de campañas de phishing.

A diferencia de otros malware tradicionales, BTMOB opera bajo el modelo Malware-as-a-Service (MaaS), lo que significa que sus desarrolladores alquilan la plataforma a otros ciberdelincuentes mediante suscripciones mensuales o licencias permanentes.

Según los investigadores, los operadores pueden obtener acceso al malware pagando alrededor de 700 dólares mensuales o hasta 5.000 dólares por una licencia vitalicia. Las ventas se realizan principalmente a través de canales privados de Telegram, donde también se ofrecen herramientas adicionales para personalizar ataques y generar campañas dirigidas.

El malware incorpora un generador de APK que facilita la creación de aplicaciones maliciosas adaptadas a distintos escenarios de phishing. Gracias a esta funcionalidad, los atacantes pueden modificar permisos, comportamiento y características del malware sin necesidad de escribir código.

Capacidades peligrosas de BTMOB

BTMOB destaca por ofrecer un amplio abanico de funciones diseñadas para maximizar el control sobre el dispositivo comprometido. Entre sus capacidades más peligrosas se encuentran:

• Robo de información sensible almacenada en el teléfono.
• Interceptación de transacciones financieras.
• Captura de pantalla en tiempo real.
• Control remoto del dispositivo infectado.
• Ocultamiento del icono de la aplicación para evitar su detección.
• Desactivación de Google Play Protect.
• Prevención del modo suspensión para mantener la actividad maliciosa.
• Obtención de permisos elevados mediante abuso de los Servicios de Accesibilidad de Android.

Una vez instalado, el malware solicita permisos avanzados que le permiten acceder a funciones críticas del sistema operativo. El abuso de los Servicios de Accesibilidad es especialmente preocupante, ya que brinda a los atacantes capacidades de supervisión y manipulación prácticamente totales sobre el dispositivo.

Este tipo de técnicas son ampliamente utilizadas por troyanos bancarios modernos debido a que permiten interceptar credenciales, leer mensajes SMS, capturar códigos de autenticación y ejecutar acciones automatizadas en aplicaciones bancarias.

Campañas de phishing dirigidas a usuarios Android

ESET reveló que BTMOB se distribuye principalmente mediante sitios web fraudulentos que se hacen pasar por servicios legítimos. Entre los señuelos identificados se encuentran plataformas de streaming y sitios relacionados con minería de criptomonedas.

Las víctimas potenciales son redirigidas a páginas falsas que imitan la apariencia de Google Play Store, donde se les solicita descargar aplicaciones aparentemente legítimas. Sin embargo, dichas aplicaciones contienen la carga maliciosa de BTMOB.

Además, investigadores de amenazas conocidos como Johnk3r y Merl detectaron campañas recientes en las que los operadores utilizaron como señuelo a una agencia gubernamental argentina para aumentar la credibilidad del ataque.

La capacidad de personalización de la plataforma permite adaptar los mensajes de phishing según el país, idioma y temática de cada campaña, incrementando considerablemente la efectividad de los ataques.

BTMOB y su relación con SpySolr

Los especialistas consideran que BTMOB podría ser una evolución directa de la familia de malware SpySolr, otro conocido malware Android asociado a operaciones de fraude financiero y espionaje móvil.

La similitud en técnicas de evasión, mecanismos de infección y abuso de accesibilidad sugiere que ambos proyectos podrían compartir desarrolladores o infraestructura.

Además, la rápida evolución observada en las versiones recientes demuestra que el autor del malware continúa trabajando activamente en mejorar sus capacidades. La firma Cyble ya había identificado múltiples muestras activas de BTMOB 2.5 durante febrero de 2025, lo que evidenciaba un ritmo acelerado de desarrollo.

El crecimiento del malware móvil en América Latina

América Latina se ha convertido en uno de los principales objetivos para operadores de malware bancario y troyanos móviles debido al aumento del uso de servicios financieros digitales y a las brechas de seguridad existentes en muchos dispositivos Android.

Brasil continúa liderando la región en volumen de ataques móviles, aunque países como México, Argentina, Colombia y Perú también experimentan un crecimiento sostenido en campañas de phishing y fraude financiero.

El éxito de plataformas MaaS como BTMOB demuestra que el cibercrimen continúa industrializándose. Ahora, actores maliciosos con pocos conocimientos técnicos pueden lanzar campañas sofisticadas utilizando herramientas ya preparadas y listas para operar.

Esto incrementa significativamente el riesgo para usuarios comunes y empresas que dependen de dispositivos móviles para operaciones financieras y acceso corporativo.

Cómo protegerse del malware BTMOB

Los expertos en ciberseguridad recomiendan adoptar medidas preventivas para reducir el riesgo de infección por malware Android:

Descargar aplicaciones únicamente desde Google Play Store

Evitar instalar APK desde sitios externos es una de las mejores prácticas para minimizar amenazas móviles.

Revisar cuidadosamente los permisos solicitados

Las aplicaciones que solicitan permisos excesivos, especialmente acceso a accesibilidad, SMS o administración del dispositivo, deben analizarse con cautela.

Mantener Google Play Protect activado

Esta función integrada ayuda a detectar aplicaciones maliciosas y comportamientos sospechosos.

Actualizar regularmente Android

Las actualizaciones de seguridad corrigen vulnerabilidades que podrían ser aprovechadas por malware avanzado.

Utilizar soluciones de seguridad móvil

El uso de antivirus y herramientas de protección móvil puede ayudar a detectar amenazas antes de que comprometan el dispositivo.

Evitar enlaces sospechosos

Los ataques de phishing continúan siendo la principal vía de distribución de malware Android, por lo que se recomienda no descargar aplicaciones desde enlaces recibidos por SMS, correo electrónico o redes sociales.

Una amenaza en constante evolución

BTMOB representa una nueva generación de malware Android orientado al fraude financiero y al control remoto de dispositivos móviles. Su modelo MaaS, junto con su capacidad de personalización y distribución mediante phishing localizado, lo convierten en una amenaza especialmente peligrosa para usuarios y organizaciones en América Latina.

La facilidad con la que los ciberdelincuentes pueden crear nuevas variantes dificulta el trabajo de las soluciones tradicionales de seguridad, obligando a las empresas y usuarios a adoptar estrategias de defensa multicapa y una mayor concienciación sobre riesgos móviles.

A medida que el malware móvil continúa evolucionando, amenazas como BTMOB demuestran que Android sigue siendo uno de los principales objetivos del cibercrimen global.

Fuente: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login