وجهات نظر ثلاثية المصدر ونتيجة التحقق من TSO:
المصدر 1: يظهر BTMOB RAT في نموذج البرمجيات الخبيثة كخدمة (MaaS)، مع واجهة بلا كود تتيح بناء تطبيقات مصرفية خبيثة، ويستهدف مستخدمي البرازيل وأمريكا اللاتينية، ويُوزَّع عبر قنوات تيليغرام ومواقع التصيّد.
المصدر 2: حذّرت ESET من تصاعد التهديد الذي يشكله BTMOB على مستخدمي أندرويد، إذ يمتلك قدرات سرقة البيانات والاستيلاء على الأجهزة، وينتشر عبر هجمات تصيّد، وتشمل الطعوم خدمات البث وخدمات العملات المشفرة، مع واجهة APK builder تتيح إنشاء الحمولات دون كود.
المصدر 3: وصف باحثو Cyble BTMOB لأول مرة، وهو يُقدَّم وفق نموذج ترخيص للمشغّل، ويمكنه إخراج البيانات، والتقاط لقطات الشاشة، وتسجيل النشاط، والتحكم عن بُعد في الأجهزة المصابة.
نتيجة التحقق من TSO: تتقاطع المصادر الثلاثة على أن BTMOB برمجية خبيثة/حصان طروادة للوصول البعيد على أندرويد، تستهدف البرازيل وأمريكا اللاتينية، وتُطرح عبر سلاسل أدوات بلا كود أو بأسلوب خدمي، وتمتلك قدرات سرقة البيانات والاستيلاء على الأجهزة؛ بينما تتركز الاختلافات في صياغة نموذج التشغيل، وأنواع الطعوم، وتفاصيل نسب المعلومات.
الحقائق المؤكدة المشتركة:
BTMOB برمجية خبيثة على أندرويد/حصان طروادة للوصول البعيد (RAT).
البرمجية تنتشر في البرازيل وأمريكا اللاتينية.
يتم توزيعها عبر مواقع تصيّد وقنوات أخرى، مع ذكر صريح من المصدر 1 لقناة تيليغرام.
تمتلك قدرات على سرقة البيانات، والتقاط لقطات الشاشة، وتسجيل النشاط، والاستيلاء عن بُعد على الأجهزة.
تشير على الأقل إحدى المصادر إلى أنها تُقدَّم بنموذج MaaS أو نموذج “خدمي/ترخيص” مشابه، مع قدرة على الإنشاء بلا كود عبر APK builder أو واجهة no-code.
نقاط الخلاف أو الاختلاف الرئيسية:
تختلف صياغة نموذج التشغيل: المصدر 1 يصفه مباشرة بـ MaaS؛ المصدر 3 يصفه بنموذج ترخيص للمشغّل؛ المصدر 2 يركز على واجهة APK builder دون استخدام مصطلح MaaS صراحةً.
تختلف الطعوم المستخدمة في التصيّد: المصدر 2 يذكر خدمات البث والعملات المشفرة، بينما لا يذكر المصدران 1 و3 أنواعًا محددة من الطعوم.
تختلف نسبة أصل التقرير: المصدر 3 يشير إلى أن باحثي Cyble كانوا أول من وصفه، بينما لا يذكر المصدران 1 و2 هذه الخلفية.
تختلف صياغة “بلا كود”: المصدر 1 يتحدث عن واجهة بلا كود لبناء تطبيقات مصرفية خبيثة، في حين يذكر المصدر 2 واجهة APK builder لإنشاء الحمولات بلا كود؛ والاتجاه واحد لكن لا يمكن الجزم من المصادر المتاحة بأنهما نفس التنفيذ تمامًا.
خلفية وتحليل:
من خلال مقارنة المصادر الثلاثة، فإن السمة الأبرز لـ BTMOB ليست مجرد حمولة خبيثة منفردة، بل مزيج من “التوزيع الخدمي + التوليد بلا كود + التوزيع متعدد القنوات”. وتُظهر المعلومات المؤكدة أنه لا يقتصر على سرقة بيانات مالية فحسب، بل يمكنه أيضًا التقاط لقطات الشاشة وتسجيل النشاط والاستيلاء على الجهاز، ما يشير إلى تركيزه على الاستحواذ على الحسابات والتحكم بالأجهزة.
ومع ذلك، فإن ما إذا كان يستهدف تحديدًا “تطبيقات مصرفية” أو “خدمات البث/العملات المشفرة” لا يمكن اعتباره الصورة الكاملة، لأن المصادر المتاحة قدّمت فقط أوصافًا جزئية.
وبالنسبة إلى نطاق “الانتشار في أمريكا اللاتينية”، فقد ذكرت المصادر الثلاثة البرازيل وأمريكا اللاتينية بوضوح، لكنها لم تقدم تفاصيل عن البلدان المشمولة أو عدد العينات أو حجم الإصابات.
لذلك، يمكن تأكيد أن BTMOB تُعد برمجية أندرويد خبيثة تنتشر في البرازيل وأمريكا اللاتينية، مع خصائص MaaS وأدوات توليد منخفضة العتبة.
ملخص آراء المصادر الثلاثة:
المصدر 1: يركز على MaaS وواجهة no-code وتيليغرام ومواقع التصيّد، مع الإشارة إلى البرازيل وأمريكا اللاتينية.
المصدر 2: يركز على تحذير ESET، وقدرات سرقة البيانات والاستيلاء على الأجهزة، والنشر عبر التصيّد وAPK builder بلا كود.
المصدر 3: يركز على نموذج ترخيص المشغّل، وإخراج البيانات، والتقاط لقطات الشاشة، وتسجيل النشاط، والتحكم عن بُعد.
خاتمة:
بجمع المصادر الثلاثة، يتمثل الخطر الأساسي لـ BTMOB في الجمع بين “التوزيع كخدمة” و”الاستيلاء عن بُعد”. أما تفاصيل حجم الهجمات ونطاق الضحايا وسلسلة العدوى الكاملة، فهي غير مذكورة في المصادر المتاحة أو لا يمكن تأكيدها منها.