Mantax Otax: il nuovo malware Android che minaccia la sicurezza degli utenti

È stato recentemente individuato un nuovo ceppo di malware per Android, noto come Mantax Otax, che unisce diverse funzionalità malevole, tra cui infostealer, remote access trojan (RAT), backdoor e ransomware. Questo programma dannoso viene distribuito principalmente come APK standalone attraverso store di terze parti, canali Telegram, forum e social media. È importante notare che non sono state riscontrate tracce del malware nei repository ufficiali come Google Play Store o Samsung Galaxy Store, suggerendo che la diffusione potrebbe avvenire anche tramite tecniche di phishing.

Le versioni di Android 9 e precedenti risultano essere le più vulnerabili, in quanto il malware può operare senza incontrare le limitazioni imposte dalle recenti difese del sistema operativo. Al contrario, sui dispositivi con Android 10 e successivi, le restrizioni di Scoped Storage limitano la capacità del ransomware di crittografare file esterni, confinando il suo impatto alla sola directory esterna localizzata dell’app.

Per attivarsi, Mantax Otax richiede inizialmente privilegi di amministratore, ottenendo così ampie autorizzazioni d’accesso a SMS, contatti, audio e immagini. Successivamente, il malware richiede permessi di accessibilità per avere il pieno controllo del dispositivo. Tra le sue capacità di esfiltrazione, si segnalano il furto di cronologia del browser, contatti, registri chiamate, messaggi SMS, notifiche e file multimediali. Inoltre, è in grado di estrarre informazioni sensibili da applicazioni come WhatsApp e Telegram, inclusi messaggi e PIN di sblocco.

Le funzionalità di monitoraggio remoto di Mantax Otax sono particolarmente preoccupanti, poiché includono l’acquisizione di screenshot, la registrazione e lo streaming dello schermo, oltre alla possibilità di scattare foto utilizzando le fotocamere frontale e posteriore. Tuttavia, finora non sono state trovate prove di registrazione microfonica.

Dopo aver raccolto i dati, il malware cifra i file degli utenti utilizzando l’algoritmo AES, elimina gli originali e aggiunge l’estensione .enc. Le vittime si trovano quindi di fronte a un’interfaccia chat per comunicare e negoziare il pagamento del riscatto.

Inoltre, sono state segnalate diverse versioni del malware, con evoluzioni come l’uso di WebSocket per il traffico di rete e l’introduzione di nuovi comandi. Il codice del malware sembra essere riconducibile a un attore operativo in Indonesia, con obiettivi principalmente localizzati nel Paese. Tuttavia, non è disponibile una stima del numero di dispositivi infettati né è chiaro se la campagna miri prevalentemente a utenti privati o a realtà aziendali.