Un nuovo e aggressivo ceppo di malware chiamato Mantax Otax sta colpendo gli utenti Android combinando ransomware, spyware e tattiche di molestia psicologica. Identificato dal team zLabs di Zimperium, la minaccia è collegata a operatori indonesiani che distribuiscono APK malevoli tramite phishing e ingegneria sociale al di fuori del Google Play Store ufficiale.
Una volta installato, Mantax Otax richiede i permessi del servizio di Accessibilità per ottenere un controllo esteso sul dispositivo. Recupera il dominio della propria infrastruttura di comando e controllo (C2) da GitHub ed esfiltra i dati della vittima, tra cui posizione, operatore telefonico e ID del dispositivo. Il server C2 può quindi inviare comandi tramite Firebase o WebSockets.
Criptazione mirata e riscatto
Il modulo ransomware colpisce specificamente i dispositivi che eseguono Android 9 o versioni precedenti. Questo accade perché la funzione 'Scoped Storage', introdotta con Android 10, limita significativamente la capacità di un malware di criptare file al di fuori della directory external-files. Sui dispositivi vulnerabili, Mantax Otax scansiona l'archiviazione condivisa e cripta i file utilizzando una chiave AES specifica per la vittima fornita dal server C2, aggiungendo l'estensione .enc alle copie criptate.
Per fare pressione sulle vittime affinché paghino, il malware sostituisce le immagini locali con avvisi di riscatto e apre una chat a schermo intero ospitata su Firebase per le trattative. I ricercatori di Zimperium hanno persino scoperto una configurazione errata nel server C2 che ha esposto le conversazioni tra attaccanti e vittime.
Sorveglianza e guerra psicologica
Oltre alla criptazione, Mantax Otax funge da strumento di spionaggio completo. Può rubare i PIN di sblocco schermo per mantenere l'accesso persistente, leggere SMS e password monouso (OTP), accedere ai registri delle chiamate, alla cronologia di navigazione e alle informazioni dell'account Google. Estrae inoltre i profili WhatsApp e le chat di Telegram simulando interazioni dell'utente tramite i servizi di Accessibilità.
Il malware sfrutta l'API MediaProjection per catturare screenshot, registrare video MP4 e trasmettere lo schermo quasi in tempo reale tramite il servizio di hosting file Catbox. Può inoltre scattare fotografie utilizzando le fotocamere del dispositivo.
La versione 2 del malware introduce una componente di molestia progettata per intimidire le vittime. Questa include finestre di dialogo ripetute, video a schermo intero, overlay di immagini "jumpscare" rapidi e messaggi text-to-speech attivati remotamente tramite gli altoparlanti. Questa evoluzione tattica rispecchia i trend in cui ransomware e AI vengono utilizzati per personalizzare la pressione psicologica durante l'estorsione.
Poiché Zimperium è un partner di sicurezza di Google, Mantax Otax viene attualmente rilevato e bloccato dai dispositivi Android aggiornati con il servizio Play Protect attivo. Agli utenti è caldamente consigliato di evitare l'installazione di APK esterni e di non concedere permessi di Accessibilità ad app non attendibili.
Ancora nessun commento. Puoi essere il primo!