Skadlig kod från Mantax Otax kombinerar ransomware, spionprogram och funktioner för fjärrstyrning. Den kan kryptera filer, stjäla känslig information och trakassera offer med störande innehåll.
Operatörer i Indonesien sprider den skadliga programvaran via APK-filer som finns utanför Google Play. Därefter använder de nätfiske och social manipulation för att övertyga måltavlor om att installera apparna.
Efter installationen begär Mantax Otax åtkomst till Androids Accessibility-tjänst. Denna kraftfulla behörighet ger den skadliga koden omfattande kontroll över den infekterade enheten.
Skadlig kod ansluter till fjärrservrar
Mantax Otax hämtar adressen till sin command-and-control-server från GitHub. Därefter skickar den information om den infekterade enheten till sina operatörer.
De insamlade uppgifterna omfattar offrets plats, mobiloperatör, Android-version och enhetsidentifierare. Dessutom kan angripare skicka fjärrkommandon via Firebase- eller WebSocket-anslutningar.
Den här konfigurationen gör det möjligt för operatörerna att ändra infrastruktur och styra komprometterade enheter i realtid. Den stöder även den skadliga kodens funktioner för ransomware, övervakning och trakasserier.
Mobilsäkerhetsföretaget Zimperium kopplade verksamheten till indonesiska hotaktörer. Forskarna uppger att gruppen förlitar sig på skadliga APK-paket i stället för distribution via Google Play.
Äldre Android-enheter utsätts för filkryptering
Ransomware-komponenten påverkar främst enheter som kör Android 9 eller tidigare. Den söker igenom delad lagring efter utvalda filtyper och krypterar dem med en unik AES-nyckel.
Mantax Otax hämtar nyckeln från sin command-and-control-server. Efter att ha skapat de krypterade kopiorna raderar den skadliga koden originalfilerna och lägger till filändelsen ”.enc”.
Den ersätter även lokalt lagrade bilder med meddelanden om lösensumma. Dessutom öppnar den skadliga koden en helskärmschatt via Firebase, vilket gör det möjligt för angriparna att förhandla om betalningar med offren.
Zimperiums forskare hittade ett konfigurationsfel på Firebase-servern. Därmed fick de tillgång till konversationer mellan operatörerna och deras offer.
Android 10 och senare innehåller Scoped Storage-skydd, som begränsar hur appar kan komma åt delade filer. Därför kan Mantax Otax endast kryptera innehåll i sin egen katalog för externa filer på nyare enheter.
Spionprogram stjäl meddelanden och kontouppgifter
Även om filkrypteringen är begränsad på nyare Android-versioner innehåller den skadliga koden fortfarande omfattande övervakningsfunktioner.
Mantax Otax kan stjäla PIN-koder till låsskärmen genom att visa vilseledande överlägg. Den här funktionen hjälper angripare att behålla åtkomsten till en enhet även när ägaren försöker säkra den.
Den skadliga koden kan också läsa SMS-meddelanden och engångslösenord. Dessutom samlar den in samtalsloggar, kontakter, webbhistorik, listor över installerade appar och platsdata.
Angripare kan även få tillgång till information kopplad till offrets Google-konto. Infektionen kan därmed exponera både personlig kommunikation och återställningskoder för konton.
Mantax Otax riktar sig också mot meddelandeplattformar. Den kan extrahera WhatsApp-profiler och meddelanden samt Telegram-konversationer.
För att utföra dessa åtgärder använder den skadliga koden Accessibility-behörigheter för att simulera tryckningar och andra interaktioner. Tekniken gör det möjligt för den att navigera i appar som om offret själv styrde enheten.
Angripare kan övervaka offrens skärmar
Den skadliga koden missbrukar Androids MediaProjection API för att övervaka aktivitet på infekterade telefoner. Den kan ta skärmbilder, spela in MP4-videor och strömma skärmen nästan i realtid.
Mantax Otax skickar en del av det inspelade skärminnehållet via filvärdtjänsten Catbox. Operatörerna kan därmed få tillgång till privata meddelanden, kontoaktivitet och annan känslig information som visas på enheten.
Spionprogrammet kan också aktivera telefonens kameror och ta bilder. Därefter laddas bilderna upp till angriparen.
Tillsammans ger dessa funktioner operatörerna omfattande övervakningsmöjligheter. De kan följa både aktiviteten på skärmen och den fysiska miljön runt enheten.
Trakasserifunktioner pressar offer att betala
Den andra versionen av Mantax Otax lade till flera funktioner som är utformade för att skrämma offer. Dessa omfattar upprepade dialogrutor och helskärmsvideor som stör normal användning av telefonen.
Den skadliga koden kan även visa snabba skrämselbilder. Dessutom kan angripare aktivera text-till-tal-meddelanden som spelas upp genom den infekterade enhetens högtalare.
Operatörerna styr dessa åtgärder på distans. Därmed kan de upprepade gånger störa offren samtidigt som de kräver betalning av en lösensumma.
Dessa trakasserifunktioner skiljer Mantax Otax från traditionell mobil ransomware. I stället för att enbart kryptera data skapar den skadliga koden en pågående kampanj av påtryckningar och skrämsel.
Play Protect blockerar Android-hotet
Zimperium deltar i Googles App Defense Alliance. Tack vare detta samarbete kan uppdaterade Android-enheter med Play Protect aktiverat upptäcka och blockera Mantax Otax.
Användare bör undvika att ladda ner APK-filer från länkar som skickas via meddelanden eller sociala medier. De bör också endast installera appar från välrenommerade utvecklare och betrodda butiker.
Accessibility-behörigheter kräver särskild försiktighet. Användare bör neka sådana förfrågningar från okända appar, särskilt när den begärda åtkomsten inte stämmer överens med appens angivna syfte.
Den som har installerat en misstänkt APK-fil bör koppla bort enheten från nätverk och ta bort appen. Personen bör även byta exponerade lösenord från en säker enhet och kontrollera viktiga konton efter obehörig aktivitet.
Att hålla Android och Play Protect uppdaterade ger ytterligare skydd. Även om nyare lagringsskydd minskar ransomware-hotet gör spionfunktionerna fortfarande Mantax Otax till en farlig skadlig kod.
0 svar till ”Ny Android-skadlig kod krypterar filer, stjäl data och trakasserar offer”