Détecté pour la première fois en février 2025, le BTMOB RAT se propage principalement via des sites de phishing et des applications frauduleuses, qui peuvent parfois se retrouver sur le Google Play Store. Ce malware utilise une méthode particulièrement sournoise : il exploite les services d’accessibilité d’Android, initialement conçus pour aider les personnes en situation de handicap, afin de contourner les protections de sécurité habituelles et d'obtenir des autorisations légitimes pour accéder aux informations sensibles des appareils infectés.

Une fois infiltré, le BTMOB RAT agit comme un espion furtif, capturant des données sensibles affichées à l’écran, telles que des identifiants de connexion, des messages et des informations bancaires. Il surveille également le contenu du presse-papiers, permettant ainsi la capture de mots de passe et d'autres données temporaires. Grâce à son exploitation des services d’accessibilité, ce malware échappe à la détection des antivirus classiques, maintenant ainsi une présence persistante sur les appareils compromis.

Face à cette menace, la DGSSI appelle à une vigilance accrue. Elle recommande aux utilisateurs d'éviter de télécharger des applications depuis des sources non officielles, de vérifier régulièrement les autorisations accordées aux applications installées et de maintenir leurs logiciels de sécurité à jour. Ces mesures sont essentielles pour se protéger efficacement contre cette menace insidieuse.