BTMOB nie je obyčajný Android vírus. Útočník už nemusí byť hacker, stačí mu kúpiť hotový nástroj a takto ťa oklamať, aby si si stiahol falošnú aplikáciu
Podvodníci už nemusia škodlivú aplikáciu písať sami. BTMOB im umožňuje vytvárať falošné APK súbory na mieru, ktoré sa šíria mimo Google Play a môžu ovládnuť telefón.
Tvoj telefón môže vyzerať úplne normálne, no v pozadí ho môže niekto ovládať na diaľku. BTMOB nie je len ďalší škodlivý kód pre Android. Je to ukážka toho, ako sa kyberkriminalita mení z práce úzkej skupiny technicky zdatných ľudí na hotový priemysel. Zločinec si dnes nemusí škodlivú aplikáciu programovať sám. Stačí mu kúpiť hotový nástroj, vybrať si funkcie a pripraviť podvodnú kampaň na mieru.
Predstav si službu, v ktorej si útočník vyberie, aké oprávnenia má aplikácia pýtať, ako sa má správať po inštalácii a na akú krajinu alebo značku má podvod zacieliť. Presne tým je BTMOB nebezpečný. Ide o trójskeho koňa pre Android predávaného ako služba, ku ktorému kupci dostanú aj nástroj na tvorbu škodlivých APK súborov. V praxi si tak vedia naklikať vlastnú falošnú aplikáciu bez toho, aby museli napísať jediný riadok kódu. Na tému upozornili bezpeční experti z ESETu.
Android malvér sa zmenil na produkt, ktorý si môže kúpiť aj menej skúsený podvodník
BTMOB vznikol ako vývoj malvéru SpySolr a ukazuje, kam sa posúva mobilná kyberkriminalita. Zatiaľ čo klasické bankové trojské kone sa zameriavajú najmä na prihlasovacie údaje, platby alebo finančné transakcie, BTMOB dáva útočníkom oveľa širšie možnosti.
Vie kradnúť citlivé dáta, snímať obrazovku, sledovať aktivitu v telefóne a v krajnom prípade umožniť vzdialené ovládanie zariadenia. Pre útočníka to znamená, že sa nemusí zastaviť len pri bankovej aplikácii. Ak získa dostatočné oprávnenia, môže sa dostať aj k správam, fotkám, pracovným súborom alebo ďalším údajom, ktoré máš v mobile.
Mesačné predplatné má stáť 700 dolárov, zatiaľ čo celoživotná licencia vychádza na 5000 dolárov. Na prvý pohľad to môže znieť ako vysoká suma, no pre organizované skupiny nejde o neprekonateľnú prekážku. Pri úspešnej podvodnej kampani sa podobná investícia môže vrátiť veľmi rýchlo.
Neprehliadni
O tom, že nejde o statickú hrozbu, svedčí aj rýchlosť vývoja. Bezpečnostní výskumníci už začiatkom roka 2025 zachytili približne 15 vzoriek BTMOB v2.5 len v priebehu dvoch týždňov.
Útok začína mimo Google Play, no obeť má pocit, že sťahuje bežnú aplikáciu
Útok sa začína nenápadne, mimo oficiálneho obchodu Google Play. Obeť dostane odkaz na web, ktorý sa tvári ako známa streamovacia služba, kryptomenová platforma alebo iná dôveryhodná služba.
Odtiaľ ju podvodníci presmerujú na falošný obchod s aplikáciami, ktorý napodobňuje legitímne prostredie na sťahovanie aplikácií. Práve v tom je trik. Používateľ má pocit, že inštaluje bežnú aplikáciu, no v skutočnosti si do telefónu púšťa škodlivý APK súbor.
Útočníci navyše nemenia len názov aplikácie. Podvodné kampane vedia prispôsobiť konkrétnej krajine, značke alebo úradu, ktorému ľudia prirodzene dôverujú. Výskumníci napríklad upozornili na prípady, kde sa BTMOB šíril cez návnady napodobňujúce argentínske daňové a colné úrady. Takéto prispôsobenie kampane výrazne zvyšuje šancu, že obeť klikne, pretože podvod zrazu nepôsobí ako náhodná cudzia stránka, ale ako niečo, čo sa jej naozaj môže týkať.
Po inštalácii sa škodlivá aplikácia pokúša zneužiť Android Accessibility Services, teda funkcie prístupnosti, ktoré majú pôvodne pomáhať ľuďom so zrakovým alebo pohybovým obmedzením. V nesprávnych rukách sa však môžu zmeniť na veľmi silný nástroj. Používateľ si môže myslieť, že aplikácii len povoľuje bežnú funkciu, no v skutočnosti jej môže otvoriť cestu k ovládaniu obrazovky, klikaniu na prvky, čítaniu obsahu a získaniu ďalších oprávnení bez toho, aby si to naplno uvedomil.
Keď sa malvér dostane na čierny trh, kontrolu nad ním už nemá nikto
BTMOB je nebezpečný aj preto, že podobné nástroje zvyčajne nezostanú len v rukách pôvodných kupcov. V januári 2026 sa na jednom dark web fóre objavila ponuka súborov súvisiacich s BTMOB na bezplatné stiahnutie. Výskumníci síce neskôr samotné payloady nenašli a fórum medzičasom zmizlo, no aj tento prípad ukázal väčší problém. Keď sa komerčný malvér raz začne predávať, kontrola nad tým, ku komu sa nakoniec dostane, sa veľmi rýchlo stráca.
Takéto nástroje sa môžu ďalej šíriť cez prepredaj, výmenu medzi skupinami alebo zdieľanie v uzavretých komunitách. A aj keď sa pôvodná verzia nedostane ku každému, jej nápady môžu kopírovať iné malvérové rodiny. Pre obrancov je to nepríjemná správa. Nejde len o jeden konkrétny škodlivý program, ale o model, ktorý zjednodušuje tvorbu podvodných kampaní aj menej skúseným útočníkom.
BTMOB sa vie rýchlo meniť, a práve preto ho nestačí hľadať len podľa jednej stopy
BTMOB je problém aj preto, že útočníci vedia rýchlo vytvárať nové verzie škodlivých aplikácií. Bezpečnostné riešenia ho síce dokážu zachytávať pod rôznymi detekčnými názvami, no nejde o hrozbu, ktorá by mala stále rovnakú podobu.
Keď si útočník vie cez pripravený nástroj vygenerovať nový APK súbor, obrancovia už nehľadajú jeden konkrétny malvér, ale pohyblivý cieľ. Práve preto nestačí spoliehať sa len na to, že telefón alebo antivírus rozpozná jednu známu vzorku.
Pre bežného používateľa z toho vyplýva, že aplikácie by si mal sťahovať len z oficiálneho obchodu Google Play, nespoliehať sa na odkazy z náhodných správ a vždy spozornieť, ak ťa neznáma aplikácia žiada o silné oprávnenia. Obzvlášť citlivé sú funkcie prístupnosti, teda Android Accessibility Services. Ak ich nepoužíva aplikácia, ktorej naozaj rozumieš a dôveruješ, je lepšie takéto povolenie neudeľovať.
Vo firmách je riziko ešte väčšie. Jeden zamestnanec, ktorý si do telefónu nainštaluje škodlivú aplikáciu mimo oficiálneho obchodu, nemusí ohroziť len svoje súkromné správy alebo fotky. Ak má v zariadení pracovný e-mail, firemné dokumenty, prístup do interných nástrojov alebo komunikačné aplikácie, útočník môže získať cestu aj k citlivým firemným údajom.
BTMOB je preto nepríjemný hlavne tým, že znižuje latku pre ďalších podvodníkov. Útočník už nemusí rozumieť každému detailu Androidu ani písať vlastný škodlivý kód od nuly. Stačí mu kúpiť hotový balík, upraviť návnadu, vygenerovať APK súbor a presvedčiť obeť, aby si ho nainštalovala.
