El malware Android BTMOB ha sido objeto de análisis técnicos por parte de varias publicaciones de ciberseguridad, pero se ha prestado menos atención al ecosistema que ha surgido a su alrededor. La actividad observada por los investigadores de Flare en foros y plataformas de chat revela un negocio criminal de software que parece haberse vuelto cada vez más difícil de controlar para su operador original.
Las publicaciones revisadas por Flare muestran que el canal que se presenta como el outlet oficial de BTMOB continúa lanzando nuevas versiones y vendiendo acceso, infraestructura privada y código fuente. Alrededor de este, otros actores anuncian suscripciones más baratas, paneles de reventa, presuntos archivos fuente y versiones que usan el nombre BTMOB.
Para comprender cómo se desarrolló este ecosistema, la investigación examinó miles de publicaciones en foros y plataformas de chat, siguiendo la actividad subterránea de BTMOB desde sus primeras etapas en 2025 hasta el presente. El material incluye anuncios de la aparente operación oficial, junto con la actividad de revendedores, vendedores de código fuente y otros actores que utilizan el nombre BTMOB.
Puntos clave
- BTMOB pasó de ser un servicio de malware operado centralizadamente a un ecosistema más amplio que involucra servidores privados, compradores de código fuente, versiones personalizadas y administradores independientes.
- El operador oficial redujo repetidamente el precio, mientras que terceros anunciaban acceso y archivos fuente a precios sustancialmente más bajos.
- El nombre BTMOB ahora es utilizado por campañas coordinadas de revendedores y cuentas que implican una conexión oficial, aunque la autenticidad de muchas ofertas no puede verificarse.
- La operación oficial de BTMOB permaneció activa mientras se desarrollaba un mercado secundario a su alrededor, continuando con el lanzamiento de nuevas versiones y la promoción de acceso, infraestructura privada y código de servidor.
¿Qué es BTMOB?
BTMOB es principalmente un troyano de acceso remoto para Android que se instala en el teléfono de la víctima para robar información y proporcionar control remoto. Se vende como un servicio de malware como servicio (MaaS) que incluye droppers, un constructor de payloads, un panel de operador basado en Windows, infraestructura de servidor y herramientas para phishing y robo de credenciales.
BTMOB atrae a los actores porque proporciona tanto el malware como gran parte de lo necesario para operarlo. Los clientes pueden usar una herramienta de software para configurar y crear aplicaciones maliciosas de Android sin desarrollarlas desde cero. Dependiendo del paquete comprado, también pueden recibir acceso a la infraestructura del servidor, versiones personalizadas y soporte técnico.
Los problemas de infraestructura se convirtieron en una oportunidad de venta
En enero de 2025, el canal oficial anunció BTMOB V2 por $700 al mes, $3,000 por una licencia de por vida, o $5,000 más pagos mensuales por infraestructura privada y soporte. Menos de un mes después, reconoció errores en el servidor. El operador afirmó que más de 4,000 dispositivos móviles estaban conectados, pero no pudo determinar si el tráfico pesado representaba actividad de clientes o un ataque DDoS.
Aunque estas afirmaciones no pudieron verificarse, el anuncio proporciona información sobre cómo operaba BTMOB en las etapas iniciales, con el aparente operador oficial gestionando su infraestructura compartida y las comunicaciones con los clientes.
Vendiendo el código detrás del servicio
En mayo de 2025, el canal ofreció el código fuente completo de BTMOB y tutoriales de configuración por $20,000. El paquete incluía sus componentes de servidor PHP y Node.js, el panel de control VB.NET y el código Java para Android. El operador explicó más tarde que la venta de código fuente generaría ganancias, permitiría a los clientes inspeccionar el código y habilitaría versiones personalizadas o alternativas sin terminar el desarrollo del servicio original.
Al mismo tiempo, la organización mostró signos de fragmentación. Un canal de soporte en español y portugués anunció que los servidores estaban temporalmente fuera de línea durante una disputa con dos ex administradores. Suspendió las ventas y los acusó de actuar de mala fe. En julio, el canal principal dijo que sus administradores comenzarían a operar de forma independiente, volviéndose responsables de sus propios clientes y reputaciones. También dijo que un administrador brasileño había comprado el código fuente y mantenía una versión separada.
El precio del código fuente anunciado posteriormente cayó a $10,000. Cuando llegó BTMOB V4 en diciembre, la oferta pública enfatizaba acceso de por vida, servidores privados, versiones personalizadas y tarifas recurrentes. También se dijo a los clientes que la migración de V3 requería contactar al operador.
Un mercado secundario más barato
Durante el mismo período, una campaña coordinada en Telegram ofreció acceso a BTMOB V4.1.2 y V4.2. Un anuncio representativo fijó el acceso de por vida en $500 y el "código fuente del servidor y archivos RAT" en $1,500, dirigiendo a los compradores a @thebtmobadmin y @btmobportal. El anuncio se distribuyó repetidamente en varios grupos de Telegram mediante varias cuentas que usaban esencialmente el mismo texto, precios y contactos. Una variación posterior promocionaba un supuesto acceso a V4.5.4 a precios similares pero utilizaba otro handle de contacto.
El momento es notable, aunque no prueba que la advertencia oficial se refiriera a estos vendedores en particular. El 26 de abril, el canal principal de BTMOB dijo que solo tenía un canal oficial y negó responsabilidad por otras cuentas que afirmaban representar el proyecto. Otros actores anunciaron precios aún más bajos para diferentes opciones. Uno ofrecía varias versiones de BTMOB a través de planes semanales, mensuales y de por vida, incluido el supuesto código fuente. Otro invitaba a los clientes a convertirse en vendedores de BTMOB comprando paneles de usuario o administrador económicos.
Anuncios sustancialmente similares de código fuente y paneles de reventa aparecieron en numerosos sitios, señalando frecuentemente al mismo contacto y sitio web. Publicaciones separadas ofrecían pruebas gratuitas y una licencia de por vida de $800, marca personalizada y supuestas descargas gratuitas de código fuente. Ninguno de estos anuncios prueba que los archivos sean auténticos. Algunos pueden representar reventa genuina o versiones modificadas, mientras que otros pueden involucrar software reempaquetado, archivos no funcionales o estafas.
El desarrollo oficial continuó en 2026
El canal principal lanzó BTMOB V4.1 en febrero de 2026 y V4.5 en abril. La V4.5 ofrecía una cuenta de por vida por $1,200, un servidor privado con múltiples cuentas por $3,000, o el código fuente del servidor por $7,000. Esto puede indicar que las ventas de código a nivel de infraestructura siguieron siendo parte del negocio oficial, aunque la oferta se había vuelto más limitada y más barata que el paquete completo promocionado en 2025. V4.5 también introdujo varias ubicaciones de servidores y una página central para administrar múltiples servidores.
De un servicio único a un mercado fragmentado
Cuando el creador de un producto exitoso vende su receta, otros pueden reproducirlo sin soportar los costos de desarrollo originales. Surgen versiones más baratas, pero su calidad varía: algunas pueden mejorar el original, mientras que otras son inestables, con poco soporte o incluso fraudulentas. Esto parece ser lo que sucedió con BTMOB. No sabemos qué motivó la venta del código fuente o la disputa entre sus administradores. Sin embargo, lo que comenzó como una operación MaaS establecida parece haberse convertido en una mezcla de versiones administradas independientemente, copias más baratas, canales de venta en competencia y ofertas de legitimidad incierta.
Como resultado, el nombre BTMOB ya no identifica a un solo operador, infraestructura o nivel de servicio. En este mercado fragmentado, los compradores deben evaluar no solo el software, sino también la reputación del vendedor, el soporte técnico y la evidencia de que el servicio realmente funciona.
