Mantax Otax-skadevaren kombinerer løsepengevirus, spionvare og fjernstyringsfunksjoner. Den kan kryptere filer, stjele sensitiv informasjon og trakassere ofre med forstyrrende innhold.
Operatører i Indonesia sprer den skadelige programvaren gjennom APK-filer som ligger utenfor Google Play. Deretter bruker de phishing og sosial manipulering for å overbevise målpersoner om å installere appene.
Etter installasjonen ber Mantax Otax om tilgang til Androids Accessibility-tjeneste. Denne kraftige tillatelsen gir skadevaren omfattende kontroll over den infiserte enheten.
Skadevaren kobler seg til eksterne servere
Mantax Otax henter adressen til sin command-and-control-server fra GitHub. Deretter sender den informasjon om den infiserte enheten til operatørene.
De innsamlede opplysningene inkluderer offerets posisjon, mobiloperatør, Android-versjon og enhetsidentifikator. I tillegg kan angriperne sende fjernkommandoer gjennom Firebase- eller WebSocket-tilkoblinger.
Dette oppsettet gjør det mulig for operatørene å endre infrastruktur og kontrollere kompromitterte enheter i sanntid. Det støtter også skadevarens funksjoner for løsepengevirus, overvåking og trakassering.
Mobilsikkerhetsselskapet Zimperium knyttet operasjonen til indonesiske trusselaktører. Forskerne sier at gruppen bruker skadelige APK-pakker i stedet for distribusjon gjennom Google Play.
Eldre Android-enheter rammes av filkryptering
Løsepengevirus-komponenten rammer hovedsakelig enheter som kjører Android 9 eller eldre. Den søker gjennom delt lagring etter utvalgte filtyper og krypterer dem med en unik AES-nøkkel.
Mantax Otax henter denne nøkkelen fra sin command-and-control-server. Etter å ha opprettet de krypterte kopiene sletter skadevaren originalfilene og legger til filendelsen «.enc».
Den erstatter også lokalt lagrede bilder med løsepengekrav. I tillegg åpner skadevaren en fullskjermchat via Firebase, slik at angriperne kan forhandle om betaling med ofrene.
Zimperiums forskere fant en konfigurasjonsfeil på Firebase-serveren. Som følge av dette fikk de tilgang til samtaler mellom operatørene og ofrene deres.
Android 10 og nyere inkluderer Scoped Storage-beskyttelse, som begrenser hvordan apper kan få tilgang til delte filer. Derfor kan Mantax Otax bare kryptere innhold i sin egen katalog for eksterne filer på nyere enheter.
Spionvare stjeler meldinger og kontodata
Selv om filkrypteringen er begrenset på nyere Android-versjoner, inneholder skadevaren fortsatt omfattende overvåkingsfunksjoner.
Mantax Otax kan stjele PIN-koder til låseskjermen ved å vise villedende overlegg. Denne funksjonen hjelper angriperne med å opprettholde tilgang til enheten selv når eieren forsøker å sikre den.
Skadevaren kan også lese SMS-meldinger og engangspassord. I tillegg samler den inn anropslogger, kontakter, nettleserhistorikk, lister over installerte apper og posisjonsdata.
Angriperne kan også få tak i informasjon knyttet til offerets Google-konto. Dermed kan infeksjonen eksponere både personlig kommunikasjon og gjenopprettingskoder for kontoer.
Mantax Otax-skadevaren retter seg også mot meldingsplattformer. Den kan hente ut WhatsApp-profiler og meldinger samt Telegram-samtaler.
For å utføre disse handlingene bruker skadevaren Accessibility-tillatelser til å simulere trykk og andre interaksjoner. Denne teknikken gjør det mulig å navigere i apper som om offeret selv kontrollerte enheten.
Angripere kan overvåke ofrenes skjermer
Skadevaren misbruker Androids MediaProjection API for å overvåke aktivitet på infiserte telefoner. Den kan ta skjermbilder, spille inn MP4-videoer og strømme skjermen nesten i sanntid.
Mantax Otax sender noe av det registrerte skjerminnholdet gjennom filhostingstjenesten Catbox. Dermed kan operatørene få tilgang til private meldinger, kontoaktivitet og annen sensitiv informasjon som vises på enheten.
Spionvaren kan også aktivere telefonens kameraer og ta bilder. Deretter laster den opp bildene til angriperen.
Til sammen gir disse funksjonene operatørene omfattende overvåkingsmuligheter. De kan følge både aktiviteten på skjermen og de fysiske omgivelsene rundt enheten.
Trakasseringsfunksjoner presser ofrene til å betale
Den andre versjonen av Mantax Otax la til flere funksjoner utviklet for å skremme ofrene. Disse inkluderer gjentatte dialogbokser og fullskjermvideoer som forstyrrer normal bruk av telefonen.
Skadevaren kan også vise raske skremmebilder. I tillegg kan angriperne aktivere tekst-til-tale-meldinger som spilles av gjennom høyttalerne på den infiserte enheten.
Operatørene styrer disse handlingene eksternt. Dermed kan de gjentatte ganger forstyrre ofrene samtidig som de krever løsepenger.
Disse trakasseringsfunksjonene skiller Mantax Otax fra tradisjonell mobil løsepengevirus. I stedet for bare å kryptere data skaper skadevaren en vedvarende kampanje med press og skremsler.
Play Protect blokkerer Android-trusselen
Zimperium deltar i Googles App Defense Alliance. På grunn av dette samarbeidet kan oppdaterte Android-enheter med Play Protect aktivert oppdage og blokkere Mantax Otax.
Brukere bør unngå å laste ned APK-filer fra lenker som sendes via meldinger eller sosiale medier. De bør også bare installere apper fra anerkjente utviklere og pålitelige butikker.
Accessibility-tillatelser krever særlig forsiktighet. Brukere bør avvise slike forespørsler fra ukjente apper, spesielt når den forespurte tilgangen ikke samsvarer med appens oppgitte formål.
Alle som har installert en mistenkelig APK-fil, bør koble enheten fra nettverk og fjerne appen. De bør også endre eksponerte passord fra en sikker enhet og kontrollere viktige kontoer for uautorisert aktivitet.
Å holde Android og Play Protect oppdatert gir ytterligere beskyttelse. Selv om nyere lagringskontroller reduserer trusselen fra løsepengevirus, gjør spionfunksjonene fortsatt Mantax Otax til en farlig skadevare.
0 responses to “Ny Android-skadevare krypterer filer, stjeler data og trakasserer ofre”