Una RAT secreta que se esconde profundamente en los dispositivos Android

El malware combina capacidades de acceso remoto con herramientas de campaña prediseñadas, lo que reduce la barrera para comprometer completamente el dispositivo.

26 de mayo de 2026
•
,
6 minutos de lectura

Nuestro reciente control de detección de amenazas en Brasil descubrió BTMOB, un troyano de acceso remoto (RAT) de Android que destaca menos por su volumen de detección y más por el daño que puede causar. La combinación de entrega asistida por phishing, herramientas de creación de aplicaciones listas para usar y capacidades de adquisición de dispositivos convierte a BTMOB en una amenaza a tener en cuenta mucho más allá de Brasil o América Latina.

BTMOB de un vistazo

Descrito por primera vez. En febrero de 2025, BTMOB evolucionó a partir del malware SpySolr. A diferencia de los troyanos bancarios, que «sólo» pretenden robar las credenciales financieras de las personas o interceptar sus transacciones financieras, BTMOB ofrece a los atacantes posibilidades más amplias: pueden filtrar una serie de datos confidenciales, tomar capturas de pantalla y registrar actividades en el dispositivo y, en última instancia, tomar el control remoto del dispositivo. El RAT también se vende con una interfaz de creación de APK, lo que permite a cualquiera generar rápidamente nuevas cargas útiles y personalizar señuelos de phishing para regiones específicas, y sin tener que escribir ningún código.

¿Cómo se propaga BTMOB?

No sorprende que todo comience con la ingeniería social ordinaria. Los operadores envían a las víctimas a sitios web de phishing que se hacen pasar por servicios de streaming, plataformas de minería de criptomonedas u otros servicios en línea conocidos. A partir de ahí, las víctimas son empujadas a tiendas de aplicaciones falsas que imitan repositorios legítimos y les piden que instalen un APK malicioso. También se ha visto a delincuentes apuntando a regiones específicas con su cebo.

Después de la instalación, BTMOB pretende lograr un acceso completo al dispositivo. Como es una práctica común hoy en día, abusa de los Servicios de Accesibilidad de Android para obtener privilegios avanzados y otorgarse más acceso al sistema sin interacción adicional del usuario.

Debido a que BTMOB fue diseñado para la economía de malware como servicio (MaaS), se comercializa como un producto de software, incluso a través de una página de publicidad en la web abierta que dirige a los compradores potenciales a un operador de Telegram. El canal de ventas se extiende a través de plataformas de redes sociales, con varias cuentas en X e Instagram vendiendo activamente la herramienta.

Una vez que alguien compra el kit malicioso, puede personalizar sus características, incluidos señuelos de phishing, para hacerse pasar por la marca o agencia con mayor probabilidad de atraer a las víctimas en un país determinado. Por ejemplo, los investigadores Johnk3r Y Merl Recientemente se descubrieron campañas que difunden BTMOB haciéndose pasar por autoridades tributarias y aduaneras argentinas.

Dinámica del mercado y desafíos en la detección.

Incluso si los desarrolladores inicialmente limitan la herramienta a los clientes que pagan, la economía sigue siendo favorable para los atacantes. Una licencia vitalicia valorada en 5.000 dólares más una tarifa de soporte mensual es pequeña en comparación con los ingresos que puede generar una operación fraudulenta exitosa.

Además, el modelo MaaS también reduce la barrera para los atacantes menos sofisticados. En enero de 2026, un foro de la web oscura afirmó ofrecer archivos relacionados con BTMOB para su descarga gratuita. Posteriormente, el foro se desconectó y nuestras búsquedas no pudieron recuperar las cargas útiles, pero el episodio resalta un riesgo conocido de malware comercial: el acceso rara vez permanece bajo control para siempre y la herramienta puede ingresar a mercados secundarios mediante reventa, trueque o intercambio en grupos cerrados. Las familias de malware competidoras también pueden copiar algunos elementos que facilitan la personalización de la carga útil y la gestión de campañas para los delincuentes menos experimentados.

Debido a que se pueden generar nuevas variantes rápidamente, los defensores deben esperar una rápida rotación de la carga útil en lugar de un conjunto estable de amenazas. Los productos de ESET detectan la herramienta principal como MSIL/BtmobRat, mientras que las variantes relacionadas de Android activan detecciones como Android/Spy.Agent.EED, Android/Spy.Agent.EIJ y Android/Spy.Agent.EIK. informe de cyble de febrero de 2025 señaló que se han descubierto unas 15 muestras de BTMOB v2.5 desde finales de enero de este año, es decir, en apenas dos semanas.

Cómo protegerte

Algunos consejos básicos le ayudarán en gran medida a protegerse de BTMOB y ​​otros programas maliciosos de Android:

• Quédese con la tienda de aplicaciones oficial: los atacantes confían en tiendas de aplicaciones falsas que imitan a Google Play. Las organizaciones deben exigir que los usuarios solo descarguen software de repositorios oficiales.
• Trate los enlaces con sospecha: sea escéptico con respecto a los enlaces no solicitados enviados por correo electrónico, aplicaciones de mensajería, redes sociales y publicidad dirigida.
• Utilice software de seguridad: tanto las personas como las organizaciones deben utilizar soluciones de seguridad móviles y tratar los dispositivos móviles con el mismo cuidado que otras máquinas y entornos. Los equipos de seguridad de la empresa deben dejar claro a los empleados que una sola descarga fraudulenta podría exponer las joyas de la corona de la empresa.

Indicadores de compromiso

Dado que BTMOB «muta» rápidamente, muchos indicadores pueden envejecer rápidamente. Sin embargo, ciertos patrones de infraestructura suelen aparecer en diferentes muestras y ayudan con la clasificación.

direcciones IP

Hashes – SHA256

Nombres de detección de ESET