Das BTMOB-RAT Ökosystem wirkt auf den ersten Blick wie eine klassische Malware-Plattform. Doch aktuelle Beobachtungen aus Untergrundforen und Messengern zeichnen ein anderes Bild: Aus einer zentral betriebenen Malware-as-a-Service-Variante wurde mit der Zeit ein breiter, unübersichtlicher Markt aus Resellern, Quellcode-Verkäufern, privaten Serverbetreibern und möglichen Identitätsanmaßungen.
Für Sicherheitsverantwortliche ist das relevant, weil sich damit auch die Angriffsoberfläche verändert. Wer nur nach dem „einen“ bekannten Produkt sucht, übersieht möglicherweise Varianten, Panels und Anbieter, die zwar denselben Namen verwenden, aber nicht dieselbe Infrastruktur oder Qualität liefern.
Vom Malware-as-a-Service zur offenen Vertriebslandschaft
BTMOB wird vor allem als Android Remote Access Trojan beschrieben: Eine bösartige App wird auf dem Zielgerät installiert, um Informationen auszuspähen und die Kontrolle aus der Ferne zu ermöglichen. Das Angebot wird als MaaS verkauft, also als Paket statt als einzelne Schadsoftware. Dazu gehören typischerweise Dropper, ein Payload-Builder, eine Betreiberoberfläche unter Windows sowie Serverinfrastruktur und Werkzeuge für Phishing und das Abgreifen von Zugangsdaten.
Genau diese „Komplettlösung“ erklärt, warum sich Käufer dafür interessieren. Je nach Paket umfassen die Inhalte nicht nur die Malware, sondern auch Zugänge zu Serverkomponenten, angepasste Versionen und Unterstützung für den Betrieb. Mit einem Konfigurationstool können Kunden zudem bösartige Android-Anwendungen erstellen, ohne alles von Grund auf neu entwickeln zu müssen.
Doch im Verlauf der Zeit zeigte sich: Der ursprüngliche Betreiber konnte (oder wollte) die Kontrolle über die komplette Lieferkette nicht behalten. Anstatt eines geschlossenen Dienstes entstand ein Umfeld, das immer mehr vom eigentlichen Kernprojekt abwich.
Warum das BTMOB-RAT Ökosystem schwer zuzuordnen ist
Die zentrale Erkenntnis aus den Beobachtungen: Das BTMOB-RAT Ökosystem entwickelte sich von einer verwalteten Dienstleistung hin zu einem Markt aus unabhängigen Akteuren. Flare untersuchte dafür Tausende Beiträge aus Foren und Chat-Plattformen und verfolgte die Aktivitäten über den Zeitraum ab Anfang 2025.
In den untersuchten Posts tauchte das „offizielle“ Auftreten weiterhin auf: Ein Kanal präsentierte sich als offizieller Vertrieb, veröffentlichte neue Versionen und verkaufte Zugriff, private Infrastruktur und Quellcode. Parallel dazu war aber eine Vielzahl weiterer Angebote sichtbar, in denen andere Akteure ebenfalls Zugangspakete, Reseller-Panel-Funktionen oder „Quell-Dateien“ unter dem BTMOB-Namen bewarben.
Wichtig: Viele Angebote lassen sich nicht zweifelsfrei belegen. Einige könnten echte Weiterverkäufe oder Anpassungen sein, andere wiederum könnten umverpackte Software, funktionslose Dateien oder sogar Betrugsversuche darstellen. Genau diese Unklarheit macht das Ökosystem für Außenstehende schwer zu verfolgen.
Preisdruck, Serverprobleme und die Logik hinter dem Quellcodeverkauf
Im Januar 2025 bewarb der angeblich offizielle Kanal BTMOB V2 zu monatlichen Preisen sowie zu Tarifen für eine Lebenszeitlizenz. Kurz darauf wurde von sogenannten Serverfehlern berichtet. Der Betreiber behauptete zwar, dass mehr als 4.000 Mobilgeräte verbunden gewesen seien, konnte aber nicht sicher sagen, ob starke Aktivität auf Kundenverkehr oder auf eine DDoS-Attacke zurückzuführen war.
Auch wenn sich diese Aussagen nicht unabhängig verifizieren ließen, zeigen sie ein Muster: Der Betrieb setzte auf geteilter Infrastruktur und kommunizierte vermeintliche Zustände direkt mit den Kunden. Sobald sich jedoch Probleme oder Unsicherheiten häufen, wird die Vertrauensbasis für Käufer empfindlich.
Ein weiterer Wendepunkt folgte im Mai 2025: Der Kanal bot den vollständigen BTMOB-Quellcode sowie Setup-Tutorials zum Verkauf an. Laut den Beobachtungen handelte es sich dabei um Komponenten wie PHP- und Node.js-Serveranteile, eine VB.NET-Control-Panel-Komponente sowie Java-Android-Code. Der Betreiber begründete, dass Quellcodeverkäufe Profit erzeugen, Käufern Einblick in den Code geben und die Erstellung eigener oder alternativer Versionen ermöglichen könnten, ohne die Entwicklung des ursprünglichen Dienstes sofort zu stoppen.
Spätestens hier wird die Dynamik des Ökosystems sichtbar: Sobald Quellcode als Ware zirkuliert, können sich neue Varianten, unabhängige Wartung und konkurrierende Angebote entwickeln – selbst dann, wenn der Name weiter „offiziell“ klingt.
Zerfall in Untergruppen: Support-Streit, getrennte Administrationen
Parallel zum Verkauf des Codes deuteten die Posts auf Fragmentierung hin. In einem spanisch- und portugiesischsprachigen Support-Kanal wurde gemeldet, dass Server zeitweise offline seien. Als Grund wurde ein Streit mit zwei ehemaligen Administratoren genannt. Der Verkauf wurde gestoppt und es wurden Vorwürfe über angeblich unredliches Verhalten der Gegenseite erhoben.
Im Juli signalisierten die Hauptkanäle zudem, dass Administratoren künftig unabhängig agieren wollten. Damit würden sie Verantwortung für ihre eigenen Klienten und den Ruf ihrer Angebote übernehmen. Außerdem wurde beschrieben, dass ein brasilianischer Administrator den Quellcode gekauft haben soll und eine separate Version pflegen würde.
In der Folge sank der beworbene Quellcodepreis deutlich. Als später eine neue Version (V4) ankam, standen wieder Themen wie lebenslanger Zugriff, private Server, angepasste Varianten und wiederkehrende Zahlungen im Vordergrund. Von Kunden wurde erwartet, dass Migrationen von älteren Versionen über den Betreiber abgewickelt werden.
Ein Sekundärmarkt mit koordinierten Werbekampagnen
Während der ursprüngliche Betrieb weiter neue Versionen bewarb, entstand zugleich ein günstigerer Sekundärmarkt. In derselben Zeit wurde in einer koordinierten Telegram-Kampagne Zugang zu späteren Versionen angeboten. Preise wurden teils so präsentiert, dass lebenslanger Zugriff deutlich niedriger wirken sollte als in früheren Angeboten; dazu kamen getrennte Pakete für RAT- und Server-Datei-„Quellcode“.
Erkennbar war dabei, dass mehrere Konten in unterschiedlichen Gruppen ähnliche Texte, ähnliche Preise und ähnliche Kontaktwege verwendeten. In einer späteren Variation tauchte eine alternative Version mit einem anderen Kontakt-Handle auf – wobei die preisliche Struktur wiederum sehr ähnlich war.
Außerdem gab es Angebote, die noch stärker in Richtung „Auswahl statt Vertrauen“ gingen: Manche Anzeigen versprachen kostenlose Tests, andere bewarben lebenslange Lizenzen zu einem niedrigeren Betrag oder lockten mit „custom branding“ und angeblich kostenlosen Quellcode-Downloads.
Auch hier gilt: Die Existenz einer Anzeige ist nicht gleichbedeutend mit echter Authentizität. Einige Anbieter könnten legitime Weiterverkäufer sein, andere könnten Versionen zusammenstellen, die nur im Namen dem Original entsprechen. Für Käufer ist daher nicht nur die Software entscheidend, sondern auch die Reputation, der technische Support und die Nachweise, dass der Dienst tatsächlich funktioniert.
Entwicklung 2026: Der Betrieb bleibt aktiv, aber das Angebot wird enger
Die Beobachtungen setzten sich auch 2026 fort. Der Hauptkanal veröffentlichte laut den Daten BTMOB V4.1 im Februar 2026 und V4.5 im April. In den beworbenen Paketen spielte erneut die Serverinfrastruktur eine große Rolle: Es wurden lebenslange Accounts, private Server mit mehreren Konten und auch Server-Quellcode angeboten.
Interessant ist, dass die Angebote im Vergleich zu den früheren Komplettpaketen offenbar „schmaler“ wurden. Gleichzeitig wurden neue Aspekte zur Verwaltung mehrerer Server erwähnt, darunter zusätzliche Serverstandorte und eine zentrale Seite für das Management.
Das deutet darauf hin, dass Infrastruktur- und Code-Elemente weiterhin einen Teil des Geschäftsmodells ausmachten. Gleichzeitig wird aber auch sichtbar: Das BTMOB-RAT Ökosystem besteht nicht mehr aus einer einzigen, klar kontrollierten Lieferkette.
Was Sicherheits-Teams daraus ableiten können
Wenn ein erfolgreicher Dienst sein „Rezept“ verkauft, können andere es nachbauen. Das führt zu günstigeren Kopien, aber auch zu stark variierender Qualität: Manche Varianten verbessern möglicherweise Funktionen, andere bieten instabile Builds, schwachen Support oder arbeiten sogar mit betrügerischen Versprechen.
Im Fall von BTMOB scheint genau das passiert zu sein. Der anfänglich etablierte MaaS-Betrieb wurde begleitet von einem Sekundärmarkt, konkurrierenden Vertriebskanälen und Angeboten, deren Echtheit schwer prüfbar ist. Dadurch steht der BTMOB-Name heute nicht mehr automatisch für einen einzelnen Betreiber, eine einheitliche Infrastruktur oder ein verlässliches Servicelevel.
Für die Praxis bedeutet das: Teams sollten nicht nur nach bekannten RAT-Varianten suchen, sondern auch die Entwicklung neuer Panels, Verkäuferstrukturen und Serverlandschaften mitverfolgen. Gerade weil die Verbreitung über Messengerdienste schnell erfolgt, kann ein „klassischer“ Erkennungsansatz zu spät greifen.
Fazit: Ein Markenname, viele Anbieter
Die Beobachtungen machen deutlich, wie sich das BTMOB-RAT Ökosystem verändert hat: Aus einem scheinbar zentralen Malware-Service wurde ein fragmentierter Markt mit Resellern, Quellcode-Angeboten und möglichen Imitationen. Selbst wenn der ursprüngliche Betreiber weiter Versionen veröffentlicht, bleibt die Zuordnung für Käufer und Außenstehende schwierig.
Für Verteidiger ist das eine klare Botschaft: Wer nur den Namen oder eine einzelne Variante im Blick hat, übersieht möglicherweise die echte Gefahr hinter dem Vertrieb. Entscheidend ist, die Dynamik rund um neue RAT-Varianten, Panels und Verkäufer zu beobachten – und damit den Abstand zwischen Erkennung und Realität so klein wie möglich zu halten.
Quelle: https://www.bleepingcomputer.com/news/security/inside-the-underground-business-of-btmob-rat/
