Uma nova variante de malware para Android, chamada Mantax Otax, combina recursos de ransomware e spyware para criptografar arquivos, roubar dados sensíveis e assediar vítimas com spam e outras formas de intimidação.
Os operadores, identificados como indonésios, distribuem o malware por meio de APKs maliciosos hospedados fora da Google Play, usando mensagens de phishing e engenharia social para atingir os usuários.
Após a instalação, o malware solicita permissão para usar o serviço de Acessibilidade, o que lhe dá amplo controle sobre os dispositivos comprometidos.
Em seguida, ele obtém o domínio de sua infraestrutura de comando e controle, o C2, a partir do GitHub e envia de volta dados da vítima, como localização, operadora, versão do Android e ID do dispositivo. O C2 pode enviar comandos por Firebase ou WebSockets para execução.
Segundo a Zimperium, empresa de segurança móvel, os operadores indonésios distribuem o malware por APKs maliciosos hospedados fora da Google Play, loja oficial de aplicativos do Android, usando mensagens de phishing e engenharia social para mirar as vítimas.
De acordo com a empresa, o Mantax Otax criptografa dispositivos com versões mais antigas do Android. Ele vasculha o armazenamento compartilhado e criptografa tipos de arquivos específicos usando uma chave AES vinculada à vítima e obtida no servidor C2.
Depois disso, o malware apaga os arquivos originais e adiciona a extensão “.enc” às cópias criptografadas.
O Mantax Otax também substitui imagens locais por avisos de resgate e abre um chat em tela cheia hospedado no Firebase para facilitar as negociações de pagamento.
Pesquisadores da Zimperium conseguiram explorar uma configuração incorreta no servidor C2 do Firebase, o que expôs as conversas dos atacantes com as vítimas.
O módulo de ransomware do Mantax Otax só funciona em dispositivos Android com versão 9 ou anterior, já que o recurso de segurança e privacidade Scoped Storage, introduzido no Android 10 e posteriores, limita de forma significativa a capacidade de criptografia ao diretório de arquivos externos.
Além do ransomware, o Mantax Otax inclui funções de spyware, controle remoto e assédio.
Os pesquisadores observam que o malware pode roubar PINs da tela de bloqueio para manter acesso persistente, ler SMS e senhas de uso único, acessar registros de chamadas, contatos, histórico de navegação, lista de aplicativos, informações da conta Google e localização.
Ele também pode extrair perfis e mensagens do WhatsApp, além de conversas do Telegram, usando interações simuladas por meio dos serviços de Acessibilidade.
Além disso, o malware abusa da API MediaProjection do Android para capturar capturas de tela, gravar vídeos em MP4 e transmitir a tela da vítima quase em tempo real por meio do serviço de hospedagem de arquivos Catbox.
O Mantax Otax também pode capturar fotos com as câmeras do dispositivo infectado e enviá-las ao operador.
A versão 2 do malware adicionou funções de assédio, como caixas de diálogo repetidas, vídeos em tela cheia, sobreposições rápidas de imagens de susto e mensagens de texto para fala controladas remotamente e reproduzidas pelos alto-falantes do dispositivo.
Esses recursos extras aumentam o componente de intimidação dos ataques e funcionam como mecanismo de pressão para forçar a vítima a pagar o resgate.
Como a Zimperium é parceira de segurança do Google por meio da App Defense Alliance (ADA), o Mantax Otax já é detectado e bloqueado por dispositivos Android atualizados com o Play Protect ativo.
A recomendação geral aos usuários é não instalar APKs fora da Google Play, não conceder permissões de Acessibilidade a aplicativos suspeitos e confiar apenas em desenvolvedores e publicadores reconhecidos.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...