BTMOB, il trojan di accesso remoto per Android: come proteggersi

Secondo ESET, BTMOB, il trojan di accesso remoto (RAT) per Android, già identificato nel 2025, risulta complesso da individuare ed è in grado di compromettere un dispositivo a 360 gradi.

Secondo Dario Fadda, esperto di cyber sicurezza e collaboratore di Cybersecurity360, “BTMOB non introduce nuove tecniche: l’abuso degli Accessibility Services di Android è un vettore già ampiamente documentato, ciò che mi preoccupa davvero, è il modello di business che ci sta dietro”.

“BTMOB conferma una cosa che molte aziende continuano a sottovalutare: lo smartphone non è più un dispositivo ‘laterale’, ma un vero endpoint aziendale: qui non parliamo solo di furto di credenziali bancarie, ma di controllo remoto, screenshot, esfiltrazione dati e osservazione dell’attività dell’utente“, commenta Sandro Sana, Ethical Hacker e membro Comitato Scientifico Cyber 4.0.

Ecco come mitigare il rischio.

Perché preoccupa BTMOB, il trojan di accesso remoto per Android

Il RAT per Android si diffonde soprattutto via phishing, consentendo agli attaccanti di effettuare furti di dati sensibili, acquisizioni di screenshot, registrazione di attività dell’utente e controllo da remoto i dispositivi infetti.

“Stiamo parlando di un vero e proprio malware-as-a-service con un builder integrato che consente a chiunque, senza competenze tecniche avanzate, di generare payload personalizzati, clonare store applicativi e adattare le lure phishing alla lingua e al contesto geografico della vittima”, avverte Fadda.

BTMOB si differenzia dei classici trojan bancari, perché fornisce funzionalità di controllo più vaste.

Comprende infatti un banale strumento per creare APK, consentendo anche agli hacker meno esperti di personalizzare malware e creare campagne di phishing, amplificandone il potenziale impatto globale: “questo abbassa drasticamente la soglia d’ingresso per i cybercriminali e amplifica in modo esponenziale il numero potenziale di campagne attive”, sottolinea Dario Fadda.

“La parte più critica è il modello a kit: se un malware può essere personalizzato con un builder APK, la soglia tecnica per l’attaccante crolla drasticamente, questo significa più campagne, più varianti, più phishing localizzato e meno indicatori stabili su cui fare detection tradizionale”, mette in guardia Sandro Sana.

I dettagli

Ancora una volta tutto ha inizio con le classiche tecniche di ingegneria sociale.

Gli autori dell’attacco indirizzano le vittime verso siti web di phishing che si spacciano per servizi di streaming, piattaforme di mining di criptovalute o altri servizi online ben noti. Da lì, le vittime vengono indirizzate verso app store fasulli che imitano i repository legittimi e le inducono a installare un APK dannoso. È stato inoltre rilevato che i malintenzionati adattano le loro esche a regioni specifiche.

Una volta installato, BTMOB cerca di ottenere un accesso esteso al dispositivo.

Come spesso accade oggi, sfrutta i servizi di accessibilità di Android per ottenere permessi elevati e concedersi un ulteriore accesso al sistema senza ulteriori interazioni da parte dell’utente.

Come proteggersi

Per difendersi, occorre utilizzare solo l’app store ufficiale: gli hacker sfruttano app store falsi che imitano Google Play.

Le organizzazioni dovrebbero imporre agli utenti di scaricare software esclusivamente dai repository ufficiali.

Bisogna inoltre diffidare dei link, esprimendo sempre un sano scetticismo nei confronti dei link non richiesti ricevuti tramite email, app di messaggistica, social media e pubblicità mirate.

“Dal punto di vista della difesa, il problema non è solo tecnico: è culturale. Gli utenti continuano a concedere permessi di accessibilità ad app di dubbia provenienza, e gli store alternativi restano un canale d’infezione efficace. Finché non si rafforza la consapevolezza dell’utente finale, soluzioni come BTMOB continueranno a trovare terreno fertile”, conclude Dario Fadda.

Infine è necessario utilizzare software di sicurezza. Sia i privati che le organizzazioni dovrebbero avvalersi di soluzioni di sicurezza per dispositivi mobili e trattare questi ultimi con lo stesso rigore riservato ad altre macchine e ambienti. I team di sicurezza aziendali devono insegnare ai dipendenti che un solo download non autorizzato potrebbe mettere a rischio i beni più preziosi dell’azienda.

Ma “la risposta non può essere solo ‘non cliccare sui link’: servono MDM, controllo delle app installabili, blocco del sideloading, sicurezza mobile e formazione concreta. Android, soprattutto in contesti BYOD o promiscui, va gestito con lo stesso rigore di un notebook aziendale”, evidenzia Sandro Sana: “Infatti, oggi un telefono compromesso può diventare una porta d’ingresso silenziosa verso dati, identità digitali e ambienti corporate”.