Mantax Otax: il malware Android che minaccia la sicurezza dei dati

Un nuovo ceppo di malware per Android, noto come Mantax Otax, è stato recentemente identificato, suscitando preoccupazioni per la sicurezza dei dati degli utenti. Questo malware combina diverse funzioni malevole, tra cui infostealer, remote access trojan (RAT), backdoor e ransomware, rendendolo particolarmente pericoloso.

La distribuzione di Mantax Otax avviene principalmente attraverso APK standalone disponibili su store di terze parti, canali Telegram, forum e social media. Non sono state trovate tracce di questo malware nei repository ufficiali, come il Google Play Store o il Samsung Galaxy Store. Inoltre, la diffusione potrebbe avvenire anche tramite attacchi di phishing, aumentando il rischio per gli utenti.

Le versioni di Android 9 e precedenti sono quelle più vulnerabili, poiché il malware riesce a operare senza le limitazioni imposte dalle più recenti difese del sistema operativo. Al contrario, sui dispositivi con Android 10 e versioni successive, le restrizioni di Scoped Storage limitano la capacità del ransomware di crittografare file esterni, confinando l’impatto alla sola directory esterna dell’app.

Per funzionare, Mantax Otax richiede inizialmente privilegi di amministratore, ottenendo così ampie autorizzazioni di accesso a SMS, contatti, audio e immagini. Successivamente, il malware richiede permessi di accessibilità per avere il pieno controllo del dispositivo. Tra le sue capacità di esfiltrazione, si segnalano il furto della cronologia del browser, dei contatti, dei registri delle chiamate, dei messaggi SMS, delle notifiche, dei file e dei media della galleria, delle informazioni dell’account Google, delle specifiche del dispositivo, dei dati di localizzazione e degli inventari delle applicazioni. Inoltre, è in grado di estrarre messaggi e profili da WhatsApp e, su Telegram, informazioni come i PIN di sblocco.

Le funzionalità di monitoraggio remoto di Mantax Otax comprendono l’acquisizione di screenshot, la registrazione e lo streaming dello schermo, e la possibilità di scattare foto utilizzando le fotocamere frontale e posteriore. Tuttavia, non sono state riscontrate prove di registrazione microfonica.

Dopo aver raccolto i dati, il malware cifra i file degli utenti utilizzando l’algoritmo AES, elimina gli originali e aggiunge l’estensione .enc. Le vittime vengono quindi presentate con un’interfaccia chat per comunicare e negoziare il pagamento del riscatto.

È importante notare che sono state rilevate diverse versioni di questo strumento, con evoluzioni come l’uso di WebSocket per il traffico di rete e l’introduzione di nuovi comandi. Il codice del malware sembra essere riconducibile a un attore operativo in Indonesia, con obiettivi principalmente localizzati nel Paese. Tuttavia, non è disponibile una stima precisa del numero di dispositivi infettati, né è chiaro se la campagna miri prevalentemente a utenti privati o a realtà aziendali.

Per proteggersi da questa minaccia, è consigliabile utilizzare soluzioni di Mobile Threat Defense e Runtime Application Protection, che possono fornire una protezione adeguata contro questo tipo di attacchi.