Mantax Otax: il nuovo malware Android che minaccia la sicurezza dei dati

Il panorama della sicurezza informatica si arricchisce di una nuova minaccia: Mantax Otax, un malware per Android che unisce le funzionalità di infostealer, remote access trojan (RAT), backdoor e ransomware. Questo programma malevolo è stato individuato in distribuzione su store di terze parti, canali Telegram, forum e social media, senza tracce nei repository ufficiali come Google Play Store o Samsung Galaxy Store. La sua diffusione potrebbe avvenire anche tramite tecniche di phishing.

Le versioni di Android 9 e precedenti risultano particolarmente vulnerabili, poiché su questi dispositivi il malware riesce a operare senza incontrare le limitazioni imposte dalle recenti misure di sicurezza del sistema operativo. Al contrario, i dispositivi con Android 10 e versioni successive beneficiano di restrizioni di Scoped Storage, che limitano la capacità di crittografare file esterni e confinano l’impatto del ransomware alla directory esterna dell’app.

Per attivarsi, Mantax Otax richiede inizialmente privilegi di amministratore, ottenendo così un accesso esteso a SMS, contatti, audio e immagini. Successivamente, il malware richiede permessi di accessibilità per ottenere il pieno controllo del dispositivo. Tra le sue capacità di esfiltrazione, si segnalano il furto della cronologia del browser, contatti, registri chiamate, messaggi SMS, notifiche, file e media della galleria, informazioni dell’account Google, specifiche del dispositivo, dati di localizzazione e inventari delle applicazioni. Inoltre, può estrarre messaggi e profili da WhatsApp e informazioni come i PIN di sblocco da Telegram.

Le funzionalità di monitoraggio remoto sono allarmanti: il malware è in grado di acquisire screenshot, registrare e trasmettere lo schermo e scattare foto utilizzando le fotocamere frontale e posteriore. Tuttavia, non sono state trovate prove di registrazione microfonica. Dopo aver raccolto i dati, Mantax Otax cifra i file degli utenti utilizzando l’algoritmo AES, elimina gli originali e aggiunge l’estensione .enc. Le vittime si trovano quindi di fronte a un’interfaccia chat per comunicare e negoziare il pagamento del riscatto.

Le versioni del malware mostrano evoluzioni significative, come l’uso di WebSocket per il traffico di rete e l’introduzione di nuovi comandi. Secondo le analisi, il codice sembra riconducibile a un attore operativo in Indonesia, con obiettivi principalmente localizzati nel Paese. Tuttavia, non sono disponibili stime sul numero di dispositivi infettati né è chiaro se la campagna miri prevalentemente a utenti privati o a realtà aziendali.

Per contrastare questa minaccia, sono state segnalate contromisure tramite soluzioni di Mobile Threat Defense e Runtime Application Protection, ma è fondamentale che gli utenti adottino misure preventive per proteggere i propri dispositivi e dati.