Mantax Otax: il malware Android che minaccia la sicurezza degli utenti

Recentemente è stato individuato un nuovo ceppo di malware per Android, denominato Mantax Otax, che unisce funzionalità di infostealer, remote access trojan (RAT), backdoor e ransomware. Questo programma malevolo si diffonde principalmente attraverso APK standalone disponibili su store di terze parti, canali Telegram, forum e social media, senza alcuna traccia nei repository ufficiali come Google Play Store o Samsung Galaxy Store. La diffusione potrebbe avvenire anche tramite attacchi di phishing.

Le versioni di Android 9 e precedenti risultano le più vulnerabili, poiché il malware riesce a operare senza le limitazioni imposte dalle più recenti difese del sistema operativo. Al contrario, sui dispositivi con Android 10 e versioni successive, le restrizioni di Scoped Storage riducono la capacità del ransomware di crittografare file esterni, confinando il suo impatto alla sola directory esterna dell’app.

Per poter operare, Mantax Otax richiede inizialmente privilegi di amministratore, ottenendo così ampie autorizzazioni d’accesso a SMS, contatti, audio, immagini e altro. Successivamente, richiede anche permessi di accessibilità per avere il pieno controllo del dispositivo.

Le capacità di esfiltrazione del malware sono preoccupanti: può rubare la cronologia del browser, contatti, registri chiamate, messaggi SMS, notifiche, file e media dalla galleria, informazioni dell’account Google, specifiche del dispositivo, dati di localizzazione e inventari delle applicazioni. Inoltre, è in grado di estrarre messaggi e profili da WhatsApp e, su Telegram, informazioni sensibili come i PIN di sblocco.

Le funzionalità di monitoraggio remoto includono l’acquisizione di screenshot, la registrazione e lo streaming dello schermo, e la possibilità di scattare foto utilizzando le fotocamere frontale e posteriore. Tuttavia, non sono state riscontrate prove di registrazione microfonica.

Dopo aver raccolto i dati, il malware cifra i file degli utenti utilizzando l’algoritmo AES, elimina gli originali e aggiunge l’estensione .enc. Le vittime si trovano quindi di fronte a un’interfaccia chat per comunicare e negoziare il pagamento del riscatto.

È importante notare che sono state identificate diverse versioni del tool, con evoluzioni significative come l’uso di WebSocket per il traffico di rete e l’introduzione di nuovi comandi. Il codice sembra essere riconducibile a un attore operativo in Indonesia, con obiettivi principalmente localizzati nel Paese. Tuttavia, non è disponibile una stima del numero di dispositivi infettati né è chiaro se la campagna si concentri maggiormente su utenti privati o su realtà aziendali.