L’elenco delle minacce Android si è appena arricchito di un nuovo malware particolarmente pericoloso. Si chiama Mantax Otax e combina diverse tecniche d’attacco in un unico strumento, arrivando a unire funzioni da ransomware con capacità di spionaggio e controllo da remoto dello smartphone.
La minaccia è stata analizzata dai ricercatori di Zimperium, che hanno individuato campagne di distribuzione rivolte principalmente a dispositivi Android meno recenti, anche se dispositivi più aggiornati possono comunque essere attaccati. Il malware viene diffuso attraverso APK modificati scaricati al di fuori del Google Play Store e può arrivare sullo smartphone sfruttando messaggi di phishing.
Una volta installato, Mantax Otax cerca di ottenere l’accesso ai servizi di accessibilità di Android, un’autorizzazione che può essere sfruttata per controllare numerose funzioni dello smartphone. Il malware raccoglie quindi informazioni sul dispositivo, tra cui la versione del software, il codice IMEI, l’operatore telefonico e la posizione, comunicandole direttamente ai cybercriminali.
Segui TuttoAndroid su Google Discover
Mantax Otax può spiare lo smartphone e modificare i file
La caratteristica più preoccupante di Mantax Otax è la presenza, al suo interno, di una componente ransomware. Per chi non lo sapesse, si tratta di un tipo di minaccia in grado di bloccare l’accesso ad un dispositivo e di cifrare i file al suo interno, ed è proprio quello che può fare Mantax Otax. Il malware è infatti in grado di individuare determinati file presenti nella memoria condivisa dello smartphone e di cifrarli utilizzando una chiave fornita dal server degli attaccanti.
Dopo essere stati cifrati, i file originali vengono eliminati e sostituiti da copie modificate con l’estensione “.enc”. Il malware può anche sostituire le immagini presenti in galleria con messaggi di richiesta del riscatto e anche mostrare una schermata a tutto schermo attraverso la quale gli aggressori possono cercare di convincere la vittima a pagare il riscatto. La buona notizia, però, è che questo tipo di minaccia non rappresenta un potenziale pericolo per chi utilizza uno smartphone Android moderno.
La cifratura dei file sfruttando il ransomware è particolarmente efficace sulle versioni più vecchie del robottino, fino ad Android 9. A partire dalla versione 10 del sistema operativo, l’accesso delle applicazioni alla memoria esterna è stato sensibilmente limitato, rendendo più difficile per il malware modificare i file. Come già detto in apertura, però, Mantax Otax unisce diverse tecniche e, alcune di queste, possono colpire anche gli smartphone più recenti.
I dispositivi più aggiornati possono comunque essere spiati dal malware, che è in grado di intercettare il PIN utilizzato per sbloccare lo smartphone, leggere SMS e codici monouso, raccogliere la cronologia delle chiamate, la lista dei contatti, i dati del browser, le applicazioni installate e persino le informazioni legate all’account Google. Sfruttando l’autorizzazione alle funzioni di accessibilità può simulare i comportamenti dell’utente e ottenere contenuti da applicazioni come WhatsApp e Telegram.
Sfruttando l’interfaccia MediaProjection può anche catturare screenshot e registrare lo schermo, arrivando a trasmettere agli attaccanti ciò che accade sul display quasi in tempo reale, oltre a scattare fotografie utilizzando le fotocamere dello smartphone che vengono poi inviate ai server. Una seconda versione di Mantax Otax è ancora più temibile ed è dotata di funzioni pensate per intimidire ulteriormente la vittima e spingerla a pagare il riscatto, come finestre di dialogo e video a tutto schermo, la riproduzione di messaggi vocali controllati da remoto e immagini improvvise.
Come abbiamo avuto modo di vedere, quindi, si tratta di un malware particolarmente pericoloso che può colpire anche gli smartphone Android più recenti. La buona notizia è che Google Play Protect dovrebbe essere in grado di individuare facilmente e bloccare il malware, dunque il primo consiglio per evitarlo è quello di tenere questa funzione sempre attiva. Come sempre in questi casi, inoltre, è di fondamentale importanza evitare l’installazione di APK provenienti da fonti sconosciute e prestare sempre attenzione quando un’app richiede l’accesso ai servizi di accessibilità senza una motivazione realmente valida.