Mantax Otax: il malware Android che minaccia la sicurezza dei dati

È stato recentemente identificato un nuovo ceppo di malware per Android, denominato Mantax Otax, che rappresenta una seria minaccia per la sicurezza dei dati degli utenti. Questo malware combina funzionalità di infostealer, remote access trojan (RAT), backdoor e ransomware, rendendolo particolarmente pericoloso.

Mantax Otax viene distribuito principalmente attraverso APK standalone su store di terze parti, canali Telegram, forum e social media. È importante notare che non sono state trovate tracce di questo malware nei repository ufficiali come Google Play Store o Samsung Galaxy Store, suggerendo che la sua diffusione avviene anche tramite tecniche di phishing.

Le versioni di Android 9 e precedenti sono particolarmente vulnerabili, poiché il malware riesce a operare senza le limitazioni imposte dalle più recenti difese del sistema operativo. Al contrario, sui dispositivi con Android 10 e versioni successive, le restrizioni di Scoped Storage limitano la capacità del ransomware di crittografare file esterni, confinando il suo impatto alla sola directory esterna dell’app.

Per funzionare correttamente, Mantax Otax richiede inizialmente privilegi di amministratore, ottenendo così accesso a informazioni sensibili come SMS, contatti, audio e immagini. Successivamente, il malware richiede permessi di accessibilità per ottenere il pieno controllo del dispositivo.

Le capacità di esfiltrazione di questo malware sono allarmanti. Tra le informazioni rubate ci sono la cronologia del browser, i contatti, i registri delle chiamate, i messaggi SMS, le notifiche, i file e i media della galleria, le informazioni dell’account Google, le specifiche del dispositivo, i dati di localizzazione e l’inventario delle applicazioni. Inoltre, Mantax Otax è in grado di estrarre messaggi e profili da WhatsApp e, su Telegram, informazioni come i PIN di sblocco.

Le funzionalità di monitoraggio remoto sono altrettanto preoccupanti. Il malware può acquisire screenshot, registrare e trasmettere lo schermo e scattare foto utilizzando le fotocamere frontale e posteriore. Tuttavia, non sono state trovate prove di registrazione audio tramite microfono.

Dopo aver raccolto i dati, Mantax Otax cifra i file degli utenti utilizzando l’algoritmo AES, elimina gli originali e aggiunge l’estensione .enc. Le vittime vengono quindi presentate con un’interfaccia chat per comunicare e negoziare il pagamento del riscatto.

È interessante notare che sono state identificate diverse versioni di questo strumento malevolo, con evoluzioni che includono l’uso di WebSocket per il traffico di rete e l’introduzione di nuovi comandi. Si sospetta che il codice sia riconducibile a un attore operativo in Indonesia, con obiettivi principalmente localizzati nel Paese. Tuttavia, non ci sono stime sul numero di dispositivi infettati né è chiaro se la campagna si concentri maggiormente su utenti privati o su realtà aziendali.

Per contrastare questa minaccia, sono state segnalate contromisure attraverso soluzioni di Mobile Threat Defense e Runtime Application Protection, che possono aiutare a mitigare i rischi associati a Mantax Otax.