In Breve
- Cos'è Mantax Otax?
- Mantax Otax è un malware per Android che combina funzionalità di infostealer, accesso remoto e ransomware.
- Quali versioni di Android sono più a rischio?
- Le versioni di Android 9 e precedenti sono le più vulnerabili a Mantax Otax.
- Come si diffonde Mantax Otax?
- Il malware si diffonde tramite APK su store di terze parti, canali Telegram, forum e social media.
È stato recentemente identificato Mantax Otax, un ceppo di malware per Android che integra diverse funzionalità pericolose, tra cui infostealer, remote access trojan (RAT), backdoor e ransomware. Questo programma malevolo si diffonde principalmente attraverso APK standalone disponibili su store di terze parti, canali Telegram, forum e social media, senza tracce nei repository ufficiali come Google Play Store o Samsung Galaxy Store. La diffusione del malware potrebbe avvenire anche tramite tecniche di phishing.
Le versioni di Android 9 e precedenti sono particolarmente vulnerabili, poiché su questi dispositivi il malware riesce a operare senza incontrare le limitazioni imposte dalle più recenti difese del sistema operativo. Al contrario, i dispositivi con Android 10 e versioni successive sono protetti da restrizioni di Scoped Storage, che limitano la capacità del ransomware di crittografare file esterni, confinando l’attacco alla sola directory esterna dell’app e riducendo così il potenziale impatto.
Per funzionare, Mantax Otax richiede inizialmente privilegi di amministratore, ottenendo così un ampio accesso a SMS, contatti, audio e immagini. Successivamente, il malware richiede permessi di accessibilità per ottenere il pieno controllo del dispositivo. Tra le sue capacità di esfiltrazione, si segnala il furto di cronologia del browser, contatti, registri chiamate, messaggi SMS, notifiche, file e media della galleria, informazioni dell’account Google, specifiche del dispositivo, dati di localizzazione e inventari delle applicazioni. Inoltre, può estrarre messaggi e profili da WhatsApp e, su Telegram, informazioni come i PIN di sblocco.
Le funzionalità di monitoraggio remoto di Mantax Otax includono l’acquisizione di screenshot, la registrazione e lo streaming dello schermo e la possibilità di scattare foto utilizzando le fotocamere frontale e posteriore. Tuttavia, non sono state rilevate prove di registrazione audio tramite microfono.
Dopo aver raccolto i dati, il malware cifra i file degli utenti utilizzando l’algoritmo AES, elimina gli originali e aggiunge l’estensione .enc ai file crittografati. Le vittime vengono quindi presentate con un’interfaccia chat per comunicare e negoziare il pagamento del riscatto.
Al momento, sono state identificate diverse versioni di questo strumento, con evoluzioni come l’uso di WebSocket per il traffico di rete e l’introduzione di nuovi comandi. Il codice sembra essere riconducibile a un attore operativo in Indonesia, e gli obiettivi principali sembrano essere localizzati nel Paese. Tuttavia, non è disponibile una stima precisa del numero di dispositivi infettati né è chiaro se la campagna si concentri principalmente su utenti privati o su realtà aziendali.