Die Mantax-Otax-Malware kombiniert Ransomware, Spyware und Fernsteuerungsfunktionen. Sie kann Dateien verschlüsseln, sensible Informationen stehlen und Opfer mit störenden Inhalten belästigen.
Betreiber in Indonesien verbreiten die Schadsoftware über APK-Dateien, die außerhalb von Google Play gehostet werden. Anschließend nutzen sie Phishing und Social Engineering, um ihre Ziele zur Installation der Apps zu bewegen.
Nach der Installation fordert Mantax Otax Zugriff auf den Accessibility-Dienst von Android an. Diese weitreichende Berechtigung gibt der Malware umfassende Kontrolle über das infizierte Gerät.
Malware verbindet sich mit entfernten Servern
Mantax Otax ruft die Adresse seines Command-and-Control-Servers von GitHub ab. Anschließend sendet die Malware Informationen über das infizierte Gerät an ihre Betreiber.
Zu den gesammelten Daten gehören der Standort des Opfers, der Mobilfunkanbieter, die Android-Version und die Gerätekennung. Darüber hinaus können die Angreifer über Firebase- oder WebSocket-Verbindungen Fernbefehle senden.
Diese Struktur ermöglicht es den Betreibern, ihre Infrastruktur zu ändern und kompromittierte Geräte in Echtzeit zu kontrollieren. Sie unterstützt außerdem die Ransomware-, Überwachungs- und Belästigungsfunktionen der Malware.
Das Mobile-Security-Unternehmen Zimperium brachte die Operation mit indonesischen Bedrohungsakteuren in Verbindung. Den Forschern zufolge setzt die Gruppe auf schädliche APK-Pakete statt auf eine Verbreitung über Google Play.
Ältere Android-Geräte sind von Dateiverschlüsselung betroffen
Die Ransomware-Komponente betrifft hauptsächlich Geräte mit Android 9 oder älteren Versionen. Sie durchsucht den gemeinsam genutzten Speicher nach bestimmten Dateitypen und verschlüsselt diese mit einem individuellen AES-Schlüssel.
Mantax Otax erhält diesen Schlüssel von seinem Command-and-Control-Server. Nach der Erstellung der verschlüsselten Kopien löscht die Malware die Originaldateien und fügt die Dateiendung „.enc“ hinzu.
Außerdem ersetzt sie lokal gespeicherte Bilder durch Lösegeldforderungen. Darüber hinaus öffnet die Malware einen über Firebase gehosteten Vollbild-Chat, über den die Angreifer mit ihren Opfern über Zahlungen verhandeln können.
Forscher von Zimperium entdeckten einen Konfigurationsfehler auf dem Firebase-Server. Dadurch erhielten sie Zugriff auf Gespräche zwischen den Betreibern und ihren Opfern.
Android 10 und neuere Versionen verfügen über Scoped-Storage-Schutzmechanismen, die den Zugriff von Apps auf gemeinsam genutzte Dateien einschränken. Daher kann Mantax Otax auf neueren Geräten nur Inhalte innerhalb seines eigenen Verzeichnisses für externe Dateien verschlüsseln.
Spyware stiehlt Nachrichten und Kontodaten
Obwohl die Dateiverschlüsselung auf neueren Android-Versionen eingeschränkt ist, verfügt die Malware weiterhin über umfangreiche Überwachungsfunktionen.
Mantax Otax kann PIN-Codes für den Sperrbildschirm stehlen, indem die Malware täuschende Overlays anzeigt. Diese Funktion hilft den Angreifern, den Zugriff auf ein Gerät aufrechtzuerhalten, selbst wenn der Besitzer versucht, es abzusichern.
Die Malware kann außerdem SMS-Nachrichten und Einmalpasswörter auslesen. Darüber hinaus sammelt sie Anrufprotokolle, Kontakte, Browserverläufe, Listen installierter Apps und Standortdaten.
Angreifer können auch Informationen erhalten, die mit dem Google-Konto des Opfers verbunden sind. Dadurch kann eine Infektion sowohl persönliche Kommunikation als auch Wiederherstellungscodes für Konten offenlegen.
Mantax Otax nimmt zudem Messaging-Plattformen ins Visier. Die Malware kann WhatsApp-Profile und Nachrichten sowie Telegram-Unterhaltungen extrahieren.
Für diese Aktionen nutzt die Malware Accessibility-Berechtigungen, um Berührungen und andere Interaktionen zu simulieren. Dadurch kann sie innerhalb von Apps navigieren, als würde das Opfer selbst das Gerät bedienen.
Angreifer können die Bildschirme ihrer Opfer überwachen
Die Malware missbraucht die MediaProjection API von Android, um Aktivitäten auf infizierten Smartphones zu überwachen. Sie kann Screenshots aufnehmen, MP4-Videos erstellen und den Bildschirm nahezu in Echtzeit streamen.
Mantax Otax sendet einige der erfassten Bildschirminhalte über den Datei-Hosting-Dienst Catbox. Dadurch können die Betreiber private Nachrichten, Kontoaktivitäten und andere sensible Informationen beobachten, die auf dem Gerät angezeigt werden.
Die Spyware kann außerdem die Kameras des Smartphones aktivieren und Fotos aufnehmen. Anschließend lädt sie diese Bilder zum Angreifer hoch.
Zusammen ermöglichen diese Funktionen den Betreibern eine umfassende Überwachung. Sie können sowohl die Aktivitäten auf dem Bildschirm als auch die physische Umgebung rund um das Gerät beobachten.
Belästigungsfunktionen sollen Opfer zur Zahlung drängen
Die zweite Version von Mantax Otax führte mehrere Funktionen ein, die darauf ausgelegt sind, Opfer einzuschüchtern. Dazu gehören wiederholt eingeblendete Dialogfenster und Vollbildvideos, die die normale Nutzung des Smartphones stören.
Die Malware kann außerdem schnell aufeinanderfolgende Schreckbilder anzeigen. Darüber hinaus können Angreifer Text-to-Speech-Nachrichten auslösen, die über die Lautsprecher des infizierten Geräts abgespielt werden.
Die Betreiber steuern diese Aktionen aus der Ferne. Dadurch können sie ihre Opfer wiederholt stören und gleichzeitig eine Lösegeldzahlung verlangen.
Diese Belästigungsfunktionen unterscheiden Mantax Otax von herkömmlicher mobiler Ransomware. Anstatt lediglich Daten zu verschlüsseln, setzt die Malware auf eine anhaltende Kampagne aus Druck und Einschüchterung.
Play Protect blockiert die Android-Bedrohung
Zimperium ist Mitglied der App Defense Alliance von Google. Durch diese Zusammenarbeit können aktualisierte Android-Geräte mit aktiviertem Play Protect Mantax Otax erkennen und blockieren.
Nutzer sollten keine APK-Dateien über Links herunterladen, die ihnen per Nachricht oder über soziale Medien zugesendet werden. Apps sollten außerdem nur von seriösen Entwicklern und aus vertrauenswürdigen Stores installiert werden.
Bei Accessibility-Berechtigungen ist besondere Vorsicht geboten. Nutzer sollten entsprechende Anfragen unbekannter Apps ablehnen, insbesondere wenn der angeforderte Zugriff nicht zum angegebenen Zweck der App passt.
Wer eine verdächtige APK-Datei installiert hat, sollte das Gerät von Netzwerken trennen und die App entfernen. Außerdem sollten möglicherweise offengelegte Passwörter über ein sauberes Gerät geändert und wichtige Konten auf unbefugte Aktivitäten überprüft werden.
Aktuelle Versionen von Android und Play Protect bieten zusätzlichen Schutz. Während neuere Speicherbeschränkungen die Ransomware-Gefahr reduzieren, machen die Spyware-Funktionen Mantax Otax weiterhin zu einer gefährlichen Malware.
0 Kommentare zu „Neue Android-Malware verschlüsselt Dateien, stiehlt Daten und belästigt Opfer“