Lié à des cybercriminels indonésiens, le malware Android portant le nom de Mantax Otax a été identifié par l’équipe de recherche zLabs de Zimperium. Il est particulièrement agressif.
La principale méthode de distribution repose sur le sideloading, où les victimes sont incitées via des campagnes de phishing et d’ingénierie sociale à installer manuellement des fichiers APK malveillants hébergés hors des boutiques d’applications officielles.
Après installation, le malware réclame des autorisations étendues, notamment via les services d’accessibilité, lui octroyant un contrôle presque total sur l’appareil infecté.
Des capacités de spyware pour Mantax Otax
Une fois actif, Mantax Otax déploie un véritable arsenal d’espionnage pour collecter une vaste gamme d’informations personnelles.
Il est capable de siphonner les listes de contacts, les journaux d’appels, les SMS, l’historique de navigation, les fichiers locaux et même le code PIN de déverrouillage de l’écran. Sa surveillance s’étend jusqu’à l’interception des codes à usage unique pour la double authentification.
Le malware exploite l’API MediaProjection d’Android pour enregistrer l’écran, prendre des captures ou diffuser son contenu vers les serveurs des attaquants. Il peut également activer les caméras avant et arrière pour photographier une victime à son insu, et extraire les conversations et identifiants de messageries comme WhatsApp et Telegram.
Des capacités de ransomware pour Mantax Otax
Sur les appareils fonctionnant avec Android 9 ou une version antérieure, Mantax Otax active sa composante ransomware.
Après avoir récupéré une clé de chiffrement AES unique pour chaque victime auprès de son serveur de commande et de contrôle, il scanne le stockage de l’appareil à la recherche de fichiers cibles. Photos, vidéos, documents et archives sont alors chiffrés et renommés avec l’extension .enc, tandis que les originaux sont supprimés.
Afin de maximiser la pression, le malware affiche ensuite une interface de discussion directement sur l’écran verrouillé, permettant aux cybercriminels de négocier la rançon.
Il est à noter que les défenses natives d’Android, comme la fonctionnalité Scoped Storage introduite à partir d’Android 10, limitent sévèrement l’efficacité du ransomware en restreignant l’accès du malware aux fichiers.
Une seconde version encore plus agressive
Les chercheurs de Zimperium ont découvert une seconde version de Mantax Otax, qui pousse l’interaction malveillante toujours plus loin.
Cette itération intègre des fonctionnalités de harcèlement psychologique visant à dégrader l’expérience utilisateur et à forcer la victime à coopérer. Elle peut verrouiller l’écran de manière persistante, bloquer l’accès à certaines applications et désactiver complètement les interactions tactiles.
Pour accentuer la pression, les attaquants peuvent déclencher à distance une série d’actions intrusives. Elles comprennent le spam de boîtes de dialogue, l’affichage de vidéos en plein écran pour masquer des opérations en arrière-plan, l’apparition soudaine d’images en boucle.
Le moteur Text-to-Speech d’Android est même utilisé pour faire prononcer à l’appareil des messages vocaux dictés par les cybercriminels. Il est difficile de faire pire que Mantax Otax.