In questo articolo Indice dei contenuti 2 sezioni
Un nuovo malware Android chiamato Mantax Otax sta mettendo insieme cose che di solito viaggiano separate: cifra i file del telefono, ruba dati sensibili e poi passa al tormento psicologico della vittima con finestre che si aprono da sole, video a schermo intero e messaggi vocali riprodotti dall’altoparlante. Un mix che serve a un solo scopo, spingere chi è stato infettato a pagare il riscatto il prima possibile.
La distribuzione parte da operatori indonesiani che diffondono APK malevoli ospitati fuori dal Google Play Store, il negozio ufficiale di Android. Il canale è il solito, e funziona ancora benissimo: messaggi di phishing e ingegneria sociale che convincono l’utente a scaricare e installare a mano il pacchetto. Una volta dentro, l’app chiede il permesso di usare il servizio di Accessibilità, quello pensato per aiutare le persone con disabilità e che, se concesso a chi non dovrebbe averlo, si trasforma in un telecomando quasi completo sul dispositivo.
Subito dopo il malware recupera da GitHub il dominio della propria infrastruttura di comando e controllo, poi rispedisce indietro i dettagli della vittima: posizione, operatore telefonico, versione di Android, identificativo del dispositivo. I comandi arrivano tramite Firebase o WebSocket, pronti per essere eseguiti.
La cifratura colpisce solo i telefoni più vecchi
Secondo l’azienda di sicurezza mobile Zimperium, il modulo ransomware di Mantax Otax funziona soltanto su dispositivi con Android 9 o precedenti. Il motivo è tecnico ma semplice: lo Scoped Storage introdotto con Android 10 limita moltissimo l’accesso ai file, riducendo la capacità di cifratura alla sola cartella dei file esterni dell’app.
Sui telefoni più datati, invece, il malware fruga nella memoria condivisa e cifra i tipi di file che gli interessano usando una chiave AES generata su misura per ogni vittima e recuperata dal server remoto. Gli originali vengono cancellati, alle copie viene aggiunta l’estensione “.enc”. Non finisce qui, perché le immagini salvate sul telefono vengono sostituite con avvisi di riscatto e si apre una chat a schermo intero, ospitata su Firebase, per trattare il pagamento.
Proprio quella chat ha dato una mano ai ricercatori. Una configurazione sbagliata del server Firebase ha esposto le conversazioni tra gli aggressori e le vittime, lasciando in chiaro le comunicazioni.
Spionaggio, ricatto e la funzione “jumpscare”
La parte spyware è forse la più invadente. Mantax Otax è in grado di rubare il PIN della schermata di blocco, e con quello mantenere un accesso stabile nel tempo. Legge gli SMS e le password monouso, accede al registro chiamate, ai contatti, alla cronologia di navigazione, all’elenco delle app installate, alle informazioni dell’account Google e alla posizione.
Attraverso interazioni simulate sfruttando i servizi di Accessibilità riesce anche a estrarre profili e messaggi di WhatsApp e le chat di Telegram. Abusa poi delle API MediaProjection di Android per catturare schermate, registrare video in formato MP4 e trasmettere lo schermo della vittima quasi in tempo reale tramite il servizio di hosting Catbox. Può perfino scattare fotografie con le fotocamere del telefono infetto e caricarle sui server dell’operatore.
La versione 2 del malware ha aggiunto quello che i ricercatori descrivono come un vero arsenale di molestie digitali: finestre di dialogo che ricompaiono all’infinito, video a schermo intero, immagini “jumpscare” che appaiono all’improvviso e messaggi in sintesi vocale controllati da remoto e riprodotti dagli altoparlanti. Tutto pensato per intimidire e mettere pressione.
Una buona notizia c’è. Dato che Zimperium è partner di Google attraverso l’App Defense Alliance, Mantax Otax risulta già rilevato e bloccato sui dispositivi Android aggiornati con Play Protect attivo. I consigli restano quelli di sempre e continuano a valere: evitare di installare APK presi fuori dal Google Play Store, non concedere i permessi di Accessibilità ad applicazioni sospette e fidarsi soltanto di sviluppatori con una reputazione solida.
Fonte: TecnoAndroid
