Mantax Otax-malwaren kombinerer ransomware, spyware og fjernstyringsfunktioner. Den kan kryptere filer, stjæle følsomme oplysninger og chikanere ofre med forstyrrende indhold.
Operatører i Indonesien spreder den skadelige software gennem APK-filer, der hostes uden for Google Play. Derefter bruger de phishing og social engineering til at overbevise målpersoner om at installere appsene.
Efter installationen anmoder Mantax Otax om adgang til Androids Accessibility-tjeneste. Denne omfattende tilladelse giver malwaren betydelig kontrol over den inficerede enhed.
Malwaren opretter forbindelse til eksterne servere
Mantax Otax henter adressen på sin command-and-control-server fra GitHub. Derefter sender den oplysninger om den inficerede enhed til operatørerne.
De indsamlede oplysninger omfatter offerets placering, mobiloperatør, Android-version og enhedsidentifikator. Desuden kan angriberne sende fjernkommandoer via Firebase- eller WebSocket-forbindelser.
Denne opsætning gør det muligt for operatørerne at ændre infrastruktur og kontrollere kompromitterede enheder i realtid. Den understøtter også malwarens funktioner til ransomware, overvågning og chikane.
Mobilsikkerhedsvirksomheden Zimperium knyttede operationen til indonesiske trusselsaktører. Forskerne oplyser, at gruppen benytter skadelige APK-pakker i stedet for distribution via Google Play.
Ældre Android-enheder rammes af filkryptering
Ransomware-komponenten påvirker primært enheder, der kører Android 9 eller tidligere. Den gennemsøger delt lagerplads efter udvalgte filtyper og krypterer dem med en unik AES-nøgle.
Mantax Otax henter denne nøgle fra sin command-and-control-server. Efter at have oprettet de krypterede kopier sletter malwaren de originale filer og tilføjer filtypenavnet “.enc”.
Den erstatter også lokalt gemte billeder med beskeder om løsepenge. Derudover åbner malwaren en fuldskærmschat via Firebase, hvilket giver angriberne mulighed for at forhandle om betaling med ofrene.
Zimperiums forskere fandt en konfigurationsfejl på Firebase-serveren. Som følge heraf fik de adgang til samtaler mellem operatørerne og deres ofre.
Android 10 og nyere indeholder Scoped Storage-beskyttelse, som begrænser, hvordan apps kan få adgang til delte filer. Derfor kan Mantax Otax kun kryptere indhold i sin egen mappe til eksterne filer på nyere enheder.
Spyware stjæler beskeder og kontooplysninger
Selvom filkrypteringen er begrænset på nyere Android-versioner, indeholder malwaren stadig omfattende overvågningsfunktioner.
Mantax Otax kan stjæle PIN-koder til låseskærmen ved at vise vildledende overlays. Denne funktion hjælper angriberne med at bevare adgangen til enheden, selv når ejeren forsøger at sikre den.
Malwaren kan også læse SMS-beskeder og engangsadgangskoder. Derudover indsamler den opkaldslogger, kontakter, browserhistorik, lister over installerede apps og placeringsdata.
Angriberne kan også få adgang til oplysninger knyttet til offerets Google-konto. Dermed kan infektionen eksponere både personlig kommunikation og gendannelseskoder til konti.
Mantax Otax-malwaren er også rettet mod beskedplatforme. Den kan hente WhatsApp-profiler og beskeder samt Telegram-samtaler.
For at udføre disse handlinger bruger malwaren Accessibility-tilladelser til at simulere tryk og andre interaktioner. Denne teknik gør det muligt at navigere i apps, som om offeret selv styrede enheden.
Angribere kan overvåge ofrenes skærme
Malwaren misbruger Androids MediaProjection API til at overvåge aktivitet på inficerede telefoner. Den kan tage skærmbilleder, optage MP4-videoer og streame skærmen næsten i realtid.
Mantax Otax sender noget af det optagede skærmindhold via filhostingtjenesten Catbox. Dermed kan operatørerne få adgang til private beskeder, kontoaktivitet og andre følsomme oplysninger, der vises på enheden.
Spywaren kan også aktivere telefonens kameraer og tage billeder. Derefter uploader den billederne til angriberen.
Tilsammen giver disse funktioner operatørerne omfattende overvågningsmuligheder. De kan følge både aktiviteten på skærmen og de fysiske omgivelser omkring enheden.
Chikanefunktioner presser ofrene til at betale
Den anden version af Mantax Otax tilføjede flere funktioner, der er udviklet til at skræmme ofrene. Disse omfatter gentagne dialogbokse og fuldskærmsvideoer, der forstyrrer normal brug af telefonen.
Malwaren kan også vise hurtige skræmmebilleder. Desuden kan angriberne aktivere tekst-til-tale-beskeder, der afspilles gennem højttalerne på den inficerede enhed.
Operatørerne styrer disse handlinger på afstand. Dermed kan de gentagne gange forstyrre ofrene, mens de kræver betaling af løsepenge.
Disse chikanefunktioner adskiller Mantax Otax fra traditionel mobil ransomware. I stedet for kun at kryptere data skaber malwaren en vedvarende kampagne med pres og intimidering.
Play Protect blokerer Android-truslen
Zimperium deltager i Googles App Defense Alliance. Som følge af dette samarbejde kan opdaterede Android-enheder med Play Protect aktiveret registrere og blokere Mantax Otax.
Brugere bør undgå at downloade APK-filer fra links, der sendes via beskeder eller sociale medier. De bør også kun installere apps fra anerkendte udviklere og pålidelige butikker.
Accessibility-tilladelser kræver særlig forsigtighed. Brugere bør afvise anmodninger fra ukendte apps, især når den ønskede adgang ikke stemmer overens med appens angivne formål.
Enhver, der har installeret en mistænkelig APK-fil, bør afbryde enheden fra netværk og fjerne appen. De bør også ændre eksponerede adgangskoder fra en sikker enhed og kontrollere vigtige konti for uautoriseret aktivitet.
At holde Android og Play Protect opdateret giver yderligere beskyttelse. Selvom nyere lagerkontroller reducerer ransomware-truslen, gør spywarefunktionerne stadig Mantax Otax til farlig malware.
0 svar til “Ny Android-malware krypterer filer, stjæler data og chikanerer ofre”