In questo articolo Indice dei contenuti 3 sezioni
Un nuovo malware per Android chiamato Mantax Otax è finito sotto la lente dei ricercatori di Zimperium, e la cosa che colpisce di più è la doppia natura: da una parte si comporta come un ransomware, cifrando i file e chiedendo un riscatto, dall’altra agisce come spyware, permettendo ai criminali di osservare in tempo reale quello che accade sullo schermo del telefono. Una combinazione tutt’altro che comune sui dispositivi mobili. Al momento la diffusione risulta circoscritta all’Indonesia, ma nulla vieta che il raggio d’azione si allarghi ad altri paesi nel giro di poco tempo.
Il meccanismo di infezione non passa dal Play Store. Le app infette vengono caricate su un servizio di file sharing, e a quel punto entrano in gioco i messaggi di phishing e le tecniche di ingegneria sociale per convincere le potenziali vittime a scaricarle. Si tratta di file APK che vanno installati manualmente, il cosiddetto sideloading, una procedura che Android consente ma che richiede di abbassare volontariamente qualche barriera di sicurezza.
Cosa succede dopo l’installazione
Al primo avvio l’applicazione chiede una quantità sospetta di permessi, compreso l’accesso ai servizi di accessibilità. Quest’ultimo dettaglio è tutt’altro che secondario, perché in pratica equivale a concedere privilegi da amministratore: da lì in poi il controllo sul dispositivo diventa quasi totale. Una volta stabilita la connessione con il server C2, cioè l’infrastruttura di command and control gestita dagli attaccanti, Mantax Otax comincia a cifrare i file con algoritmo AES e cancella gli originali.
C’è un aspetto tecnico interessante. L’operazione di cifratura riesce molto meglio sui dispositivi datati, quelli fermi ad Android 9 o versioni precedenti. Dalla versione 10 in avanti il sistema operativo ha introdotto protezioni più solide sull’accesso ai file, e questo limita parecchio i danni. Chi usa ancora un telefono vecchio, insomma, rischia molto di più. Terminata la cifratura compare una finestra di chat, pensata per avviare la trattativa sul pagamento del riscatto.
Non solo riscatto: la parte da spia
Il repertorio di Mantax Otax non si esaurisce lì. Il malware è in grado di mostrare una falsa schermata di blocco costruita apposta per catturare il PIN dell’utente, e da quel momento raccoglie praticamente tutto: SMS, rubrica, cronologia delle chiamate, cronologia del browser, elenco delle app installate, account Google, posizione geografica e persino i messaggi di WhatsApp e Telegram.
A completare il quadro c’è un modulo dedicato alla sorveglianza vera e propria. Può catturare screenshot, registrare lo schermo e trasmettere in diretta ai criminali quello che viene visualizzato sul telefono. Tradotto in pratica significa che qualsiasi dato personale, credenziale bancaria o codice di pagamento digitato sul dispositivo finisce potenzialmente nelle mani sbagliate nel momento stesso in cui viene inserito. Il malware può anche scattare foto usando sia la fotocamera posteriore che quella frontale, senza che la vittima se ne accorga.
Come difendersi da Mantax Otax
La regola di base resta sempre la stessa, e vale la pena ripeterla perché continua a essere il punto debole più sfruttato: mai scaricare file APK da fonti sconosciute o da link ricevuti via messaggio. Le app collegate a questa campagna non transitano dal Play Store, quindi il controllo di sicurezza di Google viene aggirato a monte. La buona notizia è che Play Protect riconosce e blocca queste applicazioni, offrendo comunque una rete di protezione anche a chi dovesse cadere nell’inganno.
Un occhio di riguardo va riservato ai permessi richiesti durante l’installazione. Quando un’app apparentemente banale pretende l’accesso ai servizi di accessibilità, la richiesta va considerata un campanello d’allarme, non una formalità da liquidare con un tocco distratto. E mantenere aggiornato il sistema operativo, quando possibile, riduce in modo concreto la superficie d’attacco di minacce come questa.
