Mantax Otax trasforma Android in ransomware, spyware e strumento di molestie

🛡️ Executive Summary

• Mantax Otax combina ransomware, spyware e controllo remoto: ruba PIN, SMS, OTP e chat, registra lo schermo e può utilizzare fotocamera e microfono.
• Su Android 9 e versioni precedenti cifra i file con AES; Android 10 limita l’impatto grazie alle restrizioni introdotte da Scoped Storage.
• Il malware usa Accessibility, Firebase, WebSocket e C2 dinamici, aggiungendo popup, audio, blocchi dello schermo e una chat diretta per estorcere la vittima.

Un nuovo malware Android porta il modello dell’estorsione mobile oltre la semplice cifratura dei file. Mantax Otax, individuato dai ricercatori Zimperium zLabs, combina nello stesso impianto ransomware, spyware, furto di credenziali e controllo remoto, arrivando a utilizzare lo smartphone compromesso per esercitare una pressione psicologica continua sulla vittima. Il malware può sottrarre PIN, SMS, OTP, contatti e cronologia di navigazione, registrare lo schermo, acquisire immagini attraverso le fotocamere e leggere comunicazioni da applicazioni di messaggistica. Sui dispositivi più vecchi aggiunge la cifratura dei documenti; successivamente apre una chat con gli operatori e utilizza overlay, suoni e finestre invasive per rendere difficile continuare a utilizzare normalmente il telefono.

Mantax Otax arriva attraverso APK distribuiti fuori da Google Play

La campagna analizzata da zLabs appare collegata a operatori indonesiani e utilizza phishing e social engineering per convincere le vittime a installare manualmente APK distribuiti attraverso servizi di file sharing e altri canali esterni allo store ufficiale. Secondo l’analisi tecnica originale pubblicata da Zimperium, una volta installato Mantax Otax richiede una serie molto ampia di autorizzazioni, comprese quelle di Device Administrator e soprattutto l’accesso ai Servizi di accessibilità. È lo stesso punto d’ingresso privilegiato che ricorre ormai in numerose famiglie Android: invece di cercare necessariamente una vulnerabilità kernel o ottenere il root, il malware convince l’utente a concedere una funzione legittima capace di leggere ciò che appare sullo schermo e interagire con l’interfaccia. ToxicPanda 2.0 utilizza lo stesso paradigma per arrivare fino all’attivazione automatica di ADB Wireless, mostrando quanto Accessibility sia diventata una delle leve principali del Device Takeover su Android.

PIN, OTP, WhatsApp e Telegram finiscono sotto sorveglianza

Una volta ottenuti i privilegi necessari, Mantax Otax acquisisce capacità che superano ampiamente quelle di un ransomware tradizionale. Può estrarre il PIN della schermata di blocco, leggere SMS e codici OTP, raccogliere contatti, registri delle chiamate e cronologia del browser, accedere ai file locali e alle fotografie e acquisire nuove immagini attraverso le fotocamere.

Zimperium documenta inoltre il recupero di comunicazioni provenienti da WhatsApp e Telegram, screenshot, registrazione video e streaming dello schermo. Il telefono non viene quindi soltanto utilizzato come archivio da cifrare: diventa una piattaforma di sorveglianza governata a distanza. È un’evoluzione già visibile in Manic, che combina banking malware e spyware con controllo remoto e raccolta di credenziali, ma Mantax Otax aggiunge l’estorsione direttamente all’interno della stessa catena operativa.

Leggi anche: StreamRat usa Meta Ads, Accessibility e VNC per prendere il controllo degli smartphone Android

Android 9 subisce la cifratura completa, Android 10 introduce un limite decisivo

La componente ransomware mostra una differenza significativa tra le generazioni del sistema operativo. Sui dispositivi con Android 9 o precedenti, Mantax Otax può attraversare lo storage condiviso e cifrare numerose tipologie di file attraverso AES, utilizzando una chiave associata alla vittima. Il malware elimina quindi gli originali e conserva le versioni cifrate aggiungendo l’estensione .enc. Le immagini presenti sul dispositivo possono essere sostituite o modificate per visualizzare il messaggio di riscatto, rendendo immediatamente visibile l’avvenuta compromissione.

Su Android 10 e versioni successive, questo meccanismo incontra invece le restrizioni di Scoped Storage, introdotte da Google per limitare l’accesso indiscriminato delle applicazioni ai file appartenenti ad altre app o conservati nello storage condiviso. La protezione non neutralizza però l’intera minaccia: spyware, furto delle credenziali, controllo remoto e sorveglianza restano utilizzabili quando la vittima concede le autorizzazioni necessarie. Il caso è quindi un esempio concreto di come una misura architetturale introdotta nel sistema operativo possa ridurre una particolare capacità malevola senza impedire una compromissione fondata sull’abuso dei permessi.

GitHub, Firebase e WebSocket rendono dinamico il comando e controllo

L’infrastruttura utilizza più canali per mantenere il collegamento con gli operatori. Mantax Otax può recuperare dinamicamente il dominio del proprio C2 attraverso GitHub, permettendo ai criminali di cambiare indirizzo senza dover distribuire un nuovo APK. Il malware utilizza inoltre Firebase e, nelle versioni più recenti analizzate, connessioni WebSocket per ricevere comandi e sostenere la comunicazione in tempo reale. Il modello ricorda altre famiglie Android nelle quali il comando e controllo non è più limitato a richieste periodiche verso un singolo server. RedHook combina C2, Accessibility e decine di comandi per trasformare Android in una piattaforma di amministrazione remota; Mantax Otax applica la stessa logica al ransomware, mantenendo un canale attivo anche durante la fase di estorsione.

Un errore di configurazione nell’infrastruttura Firebase analizzata da Zimperium ha inoltre permesso ai ricercatori di osservare informazioni sul pannello degli operatori e conversazioni tra criminali e vittime. Questo elemento mostra che la chat presente sul dispositivo non è una semplice schermata statica di riscatto, ma parte di un sistema che consente all’operatore di interagire direttamente con la persona compromessa.

Il malware non cifra soltanto: tormenta deliberatamente la vittima

La caratteristica più insolita di Mantax Otax è l’integrazione di funzioni progettate specificamente per disturbare e intimidire. Gli operatori possono bloccare applicazioni, impedire l’interazione con lo schermo, mostrare continuamente finestre di dialogo, riprodurre audio e sovrapporre immagini o video a schermo intero. Alcune funzioni consentono di generare popup ripetutamente e utilizzare il telefono stesso come strumento di pressione.

Questa componente modifica il rapporto tra ransomware e vittima. Nei modelli classici l’estorsione avviene attraverso un file README, un portale Tor o una schermata di blocco. Mantax Otax mantiene invece l’aggressore dentro l’esperienza quotidiana del dispositivo, rendendo difficile ignorare il messaggio e contemporaneamente utilizzando le informazioni sottratte per aumentare la pressione. Il modello può essere considerato una forma mobile di doppia estorsione: alla perdita di disponibilità dei dati si aggiunge la consapevolezza che l’operatore possieda messaggi, fotografie, credenziali e altre informazioni private.

Continua con:

• WindRelay e SpyNote trasformano Android in uno strumento per frodi NFC e controllo remoto
• TrickMo Variant C porta il Device Takeover Android tra tunnel, proxy e controllo remoto

Il vero rischio resta concedere al malware il controllo del dispositivo

Mantax Otax non introduce, sulla base dell’analisi disponibile, una nuova vulnerabilità zero-day capace di compromettere automaticamente qualsiasi smartphone Android. La catena dipende innanzitutto dall’installazione di un APK esterno e dalla concessione di autorizzazioni estremamente invasive, in particolare Accessibility e Device Administrator. È una distinzione importante: il malware è tecnicamente aggressivo, ma ha comunque bisogno che la fase di social engineering abbia successo. I dispositivi moderni dispongono inoltre di barriere che ne riducono alcune capacità, con Scoped Storage che impedisce alla componente ransomware di operare sui file con la stessa libertà disponibile sulle vecchie versioni di Android. Rimane però intatto il problema più generale: una volta concesso ad applicazioni non affidabili il diritto di osservare e manipolare l’interfaccia, molte protezioni applicative possono essere aggirate senza sfruttare falle tradizionali. Per questo Mantax Otax è significativo non tanto per la singola tecnica di cifratura, quanto per la convergenza tra ransomware, spyware, Device Takeover ed estorsione psicologica. Sul mobile il dato non viene più soltanto rubato o cifrato: lo stesso dispositivo può diventare il mezzo con cui l’attaccante controlla e perseguita la vittima.