Le BTMOB RAT est connu pour sa capacité à prendre le contrôle d’un téléphone Android et à voler des informations. Pourtant, l’histoire ne s’arrête pas au code malveillant. Des chercheurs de Flare ont suivi, sur des forums et des plateformes de messagerie, l’évolution d’un véritable commerce souterrain bâti autour du même nom. Résultat : un écosystème fragmenté, où la “version officielle” peine à rester la référence unique.
Au lieu d’un opérateur central parfaitement maître de ses clients, le BTMOB RAT s’est progressivement transformé en réseau d’acteurs : revendeurs, vendeurs de composants, administrateurs indépendants, et comptes qui se présentent comme liés au projet. Dans ce contexte, l’acheteur ne sait plus toujours si l’offre correspond à un produit authentique, à un dérivé, ou à un piège.
Qu’est-ce que le BTMOB RAT, au-delà du nom ?
Le BTMOB RAT (Remote Access Trojan) est avant tout un malware d’accès à distance conçu pour s’installer sur l’appareil d’une victime. Une fois présent, il permet de voler des données et d’offrir une forme de contrôle à distance depuis une infrastructure opérée par les criminels.
Le point qui attire les acteurs malveillants, c’est le modèle “malware-as-a-service”. Concrètement, l’offre ne se résume pas à un binaire : elle inclut plusieurs éléments nécessaires à l’exploitation, notamment des composants de déploiement, des outils pour construire les charges, et une interface de contrôle côté opérateur (basée sur Windows), ainsi qu’une infrastructure serveur.
Selon le package acheté, les clients peuvent aussi recevoir de quoi accélérer leurs campagnes : outils liés au phishing, mécanismes de vol de données d’identification, ou encore accès à des serveurs et versions personnalisées. Autrement dit, on achète une “chaîne complète” plutôt que de repartir de zéro.
D’une opération centrale à un marché parallèle
Les observations rapportées par Flare montrent comment un service initialement structuré peut se “démultiplier”. À mesure que le BTMOB RAT gagnait en popularité dans les canaux clandestins, d’autres acteurs se sont greffés autour de l’écosystème : certains revendent l’accès, d’autres proposent des panneaux, et d’autres encore cherchent à monétiser le code ou des éléments présentés comme associés au projet.
Le schéma décrit ressemble à une spécialisation incontrôlée : l’offre principale est complétée par une secondary market (un marché secondaire) alimenté par des comptes multiples. Dans les publications passées en revue, on retrouve des annonces pour des versions nouvelles, des abonnements, des licences à vie, mais aussi des promesses de “fichiers serveur” et de “code source”.
Dans ce nouvel environnement, le nom BTMOB RAT ne sert plus seulement de marque technique. Il devient un label commercial exploité par plusieurs vendeurs, parfois coordonnés, parfois concurrents, et parfois dont la légitimité reste invérifiable.
La vente de code : un tournant dans l’écosystème
Un des épisodes les plus marquants concerne la monétisation du code derrière le service. Au cours de la période observée, le canal présenté comme principal a annoncé la mise en vente de composants de type code source, ainsi que des tutoriels de configuration.
Le détail important, c’est que la vente n’est pas décrite uniquement comme un “produit”. Elle est présentée comme un levier économique : permettre aux clients d’inspecter le code et de développer des versions personnalisées ou alternatives sans bloquer l’évolution du service d’origine.
Avec ce type d’offre, la fragmentation devient plus probable. Dès lors que des parties prenantes obtiennent les briques permettant de modifier ou de reproduire, l’écosystème peut rapidement se scinder en variantes, mises à jour concurrentes, ou copies moins fiables.
Des prix qui chutent : une concurrence qui change la dynamique
Les annonces examinées par Flare font ressortir une baisse progressive des tarifs au fil du temps, au moins sur certains canaux. Dans le modèle MaaS initial, le coût affiché pour l’accès et l’infrastructure pouvait être significatif : par exemple, des offres mensuelles ou des licences à vie, avec des options liées à des serveurs privés et à un support.
Par la suite, d’autres comptes ont diffusé des propositions beaucoup plus basses. Selon les publications analysées, certains vendeurs annonçaient des accès à vie à des montants réduits, ainsi que des “sources” ou des “fichiers serveur” présentés comme associés au BTMOB RAT. Dans plusieurs cas, des publicités similaires semblaient copiées-collées, avec des montants et des contacts proches.
Ce point est crucial pour comprendre la méfiance nécessaire : rien ne prouve que les fichiers et promesses correspondent à des éléments authentiques. L’offre peut être un reconditionnement réel, une version modifiée, mais aussi un contenu inutilisable ou, pire, une arnaque.
Telegram comme hub : comptes, canaux et campagnes coordonnées
La diffusion décrite se fait largement via Telegram. Les chercheurs ont suivi des messages de canaux et de groupes, ainsi que des publicités relayées par différents comptes.
Le même “style” d’annonce, les prix proches, et des contacts récurrents laissent penser à une forme de coordination ou, au minimum, à la circulation d’un kit marketing. Toutefois, Flare souligne que cela ne permet pas de conclure automatiquement que les comptes secondaires sont officiellement liés à l’opération initiale.
En parallèle, le canal principal a aussi publié des mises en garde : il a notamment rejeté l’idée qu’il n’y ait plusieurs canaux officiels et a tenté de limiter l’usurpation. Même si ces avertissements existent, le marché reste mouvant et la confusion persiste.
Des équipes qui se séparent et des versions qui se multiplient
Au-delà des prix et des annonces, l’écosystème décrit révèle un phénomène organisationnel : des administrateurs annonceraient des activités indépendantes et certains responsables présenteraient l’existence de versions distinctes. Dans les messages étudiés, on trouve des indices de désaccords et de “disputes” ayant entraîné l’arrêt temporaire de serveurs ou la suspension de ventes dans certaines langues.
Par ailleurs, lorsque le code est vendu ou que des accès sont distribués, l’architecture commerciale peut changer : certains vendeurs se retrouvent en position d’opérer leurs propres clients, tandis que d’autres proposent des substituts annoncés comme “plus récents”.
Dans cette configuration, le BTMOB RAT devient un nom qui regroupe plusieurs réalités : variantes, offres de support, infrastructures distinctes et niveaux de service difficiles à comparer.
Le point de vigilance pour les équipes de sécurité
Le message principal de Flare est opérationnel : les menaces évoluent vite, surtout quand elles se structurent en marchés clandestins. Le BTMOB RAT illustre comment un service peut se scinder en de multiples dérivés et canaux, tout en conservant une nomenclature similaire.
Pour une organisation, cela signifie que la détection ne peut pas se limiter à une signature unique ou à l’attente d’une même “famille” d’infrastructure. Il faut aussi prendre en compte l’existence de panneaux, versions, et canaux proposés par des tiers.
Autre conséquence : l’attribution et la validation des offres deviennent complexes. Les acheteurs eux-mêmes sont confrontés au même problème : la légitimité n’est pas vérifiable à partir des publicités. Même si certaines promotions mentionnent des “essais gratuits” ou des licences, la qualité et l’authenticité restent incertaines.
Conclusion : un nom de plus en plus trompeur
Au départ, le BTMOB RAT s’inscrivait dans un modèle cohérent de malware-as-a-service, avec une infrastructure et des outils fournis au client. Mais les observations issues des forums et des plateformes de messagerie racontent une autre trajectoire : celle d’un produit qui se fragmente en un marché concurrentiel.
Dans cet écosystème souterrain, le nom associé au BTMOB RAT ne garantit plus à lui seul une source unique, une même infrastructure, ni même un niveau de service homogène. Pour les acteurs défensifs, le défi consiste surtout à garder une visibilité suffisante sur les nouvelles variantes, panneaux et canaux avant qu’ils n’atteignent les cibles. Dans un marché criminel qui bouge vite, la veille et l’analyse restent la meilleure ligne de défense.
Source: https://www.bleepingcomputer.com/news/security/inside-the-underground-business-of-btmob-rat/
