In Breve
- Cos'è Mantax Otax?
- Mantax Otax è un malware per Android che unisce funzionalità di infostealer, remote access trojan e ransomware.
- Quali dispositivi sono più a rischio?
- Le versioni di Android 9 e precedenti sono le più vulnerabili a Mantax Otax.
- Come si diffonde Mantax Otax?
- Il malware viene distribuito tramite APK standalone su store di terze parti e canali Telegram.
È stato recentemente identificato Mantax Otax, un nuovo ceppo di malware per Android che combina diverse funzionalità dannose, tra cui infostealer, remote access trojan (RAT), backdoor e ransomware. Questo programma malevolo viene distribuito come APK standalone su store di terze parti, canali Telegram, forum e social media. È importante notare che non sono state riscontrate tracce di Mantax Otax nei repository ufficiali come Google Play Store o Samsung Galaxy Store, e la diffusione potrebbe avvenire anche attraverso tecniche di phishing.
Le versioni di Android 9 e precedenti risultano essere le più vulnerabili, poiché su questi dispositivi l’attività del malware riesce a eludere le limitazioni imposte dalle più recenti difese del sistema operativo. Al contrario, sui dispositivi con Android 10 e versioni successive, le restrizioni di Scoped Storage limitano la capacità di crittografare file esterni, confinando il ransomware alla sola directory esterna dell’app e riducendo così il potenziale impatto.
Per operare, Mantax Otax richiede inizialmente privilegi di amministratore, ottenendo così un ampio accesso a funzioni sensibili del dispositivo, come SMS, contatti, audio e immagini. Successivamente, il malware richiede permessi di accessibilità per esercitare un controllo completo sul dispositivo. Tra le funzionalità di esfiltrazione dei dati, si segnalano il furto della cronologia del browser, contatti, registri delle chiamate, messaggi SMS, notifiche, file e media dalla galleria, informazioni dell’account Google, specifiche del dispositivo, dati di localizzazione e inventari delle applicazioni. Inoltre, Mantax Otax è in grado di estrarre messaggi e profili da WhatsApp e, su Telegram, informazioni come i PIN di sblocco.
Le capacità di monitoraggio remoto del malware includono l’acquisizione di screenshot, la registrazione e lo streaming dello schermo, e la possibilità di scattare foto utilizzando le fotocamere frontale e posteriore. Tuttavia, non sono state rilevate prove di registrazione microfonica. Dopo aver raccolto i dati, Mantax Otax cifra i file degli utenti utilizzando l’algoritmo AES, elimina gli originali e aggiunge l’estensione .enc. Le vittime vengono quindi presentate con un’interfaccia chat per comunicare e negoziare il pagamento del riscatto.
È interessante notare che sono state rilevate più versioni di questo strumento, con evoluzioni come l’uso di WebSocket per il traffico di rete e l’introduzione di nuovi comandi. Il codice sembra essere riconducibile a un attore operativo in Indonesia, con obiettivi principali localizzati nel Paese. Tuttavia, non è disponibile una stima del numero di dispositivi infettati, né è chiaro se la campagna miri principalmente a utenti privati o a realtà aziendali.
