In Breve
- Che cos'è Mantax Otax?
- Mantax Otax è un malware per Android che combina infostealer, accesso remoto e ransomware.
- Quali versioni di Android sono più a rischio?
- Le versioni di Android 9 e precedenti sono le più vulnerabili a Mantax Otax.
- Come si diffonde Mantax Otax?
- Il malware si diffonde tramite APK su store di terze parti, canali Telegram e phishing.
È stato recentemente scoperto Mantax Otax, un nuovo ceppo di malware per Android che rappresenta una grave minaccia per la sicurezza dei dati. Questo malware combina le funzionalità di infostealer, remote access trojan (RAT), backdoor e ransomware, rendendolo particolarmente pericoloso.
La distribuzione di Mantax Otax avviene principalmente attraverso APK standalone su store di terze parti, canali Telegram, forum e social media. Non sono state trovate tracce di questo malware nei repository ufficiali come Google Play Store o Samsung Galaxy Store, suggerendo che la diffusione possa avvenire anche tramite phishing.
Le versioni di Android 9 e precedenti sono le più vulnerabili, poiché su questi dispositivi il malware può operare senza le limitazioni imposte dalle versioni più recenti del sistema operativo. Al contrario, i dispositivi con Android 10 e successivi presentano restrizioni di Scoped Storage che limitano la capacità del ransomware di crittografare file esterni, riducendo così il suo impatto.
Per attivarsi, Mantax Otax richiede inizialmente privilegi di amministratore, ottenendo successivamente accesso a SMS, contatti, audio e immagini. Tra le sue capacità di esfiltrazione, il malware è in grado di rubare cronologie di navigazione, contatti, registri chiamate e anche messaggi da applicazioni come WhatsApp e Telegram.
Le funzionalità di monitoraggio remoto includono la possibilità di acquisire screenshot e registrare lo schermo, senza però evidenze di registrazione audio. Una volta raccolti i dati, il malware cifra i file degli utenti con AES, eliminando gli originali e aggiungendo l’estensione .enc. Le vittime ricevono un’interfaccia chat per negoziare il pagamento del riscatto.
Attualmente, non è chiaro il numero di dispositivi infettati, né se la campagna miri a utenti privati o a realtà aziendali. Tuttavia, il codice del malware sembra riconducibile a un attore operativo in Indonesia, con obiettivi localizzati principalmente nel Paese.
