Mantax Otax, il ransomware Android appena scoperto, non si limita a bloccare i file: registra lo schermo, ruba codici OTP e scatta foto segrete, offrendo ai criminali un arsenale completo per estorsione e furto di identità.
Mantax Otax è un ransomware che va oltre la semplice cifratura dei file: trasforma ogni smartphone Android infetto in uno strumento di sorveglianza e ricatto. Scoperto dagli analisti di Zimperium, questo malware registra lo schermo in tempo reale, intercetta codici OTP, accede alle chat e scatta foto senza che l'utente se ne accorga. Il risultato è un attacco che mette a rischio sia la privacy sia la sicurezza dei dati personali.
La particolarità di Mantax Otax sta nella combinazione di tecniche da ransomware e spyware in un'unica app malevola. Dopo aver convinto la vittima a installare un APK da link sospetti o piattaforme di file sharing, il malware richiede privilegi da amministratore, accesso a SMS, contatti, immagini e soprattutto ai servizi di Accessibilità. Questo permesso, pensato per aiutare chi ha disabilità, viene sfruttato per leggere tutto ciò che appare sullo schermo e simulare interazioni, facilitando il furto di credenziali e dati sensibili.
Un arsenale per il controllo totale
Mantax Otax rappresenta una delle minacce Android più sofisticate degli ultimi anni: combina tecniche di ransomware e spyware, sfruttando permessi di Accessibilità per aggirare le difese del sistema operativo e colpire anche dispositivi aggiornati.
Il malware può attivare la fotocamera senza preavviso, scattando foto di nascosto e inviandole agli operatori. Raccoglie anche contatti, cronologia chiamate, posizione, elenco delle app installate, dati dell'account Google e file della galleria. Monitora le notifiche e intercetta SMS in arrivo, puntando ai codici di autenticazione a due fattori e ai messaggi di WhatsApp e Telegram, che vengono aperti e letti tramite comandi automatizzati.
Account a rischio e doppio ricatto
Il furto di OTP e PIN di sblocco, ottenuti tramite overlay che simulano schermate di blocco, permette ai criminali di prendere il controllo degli account delle vittime o di ricattarle con informazioni personali. La chat integrata nel ransomware consente agli attaccanti di negoziare direttamente il riscatto, creando le condizioni per una doppia estorsione: pagare per riavere i file e per evitare la diffusione di dati privati.
Gli indizi raccolti dagli analisti, tra cui stringhe linguistiche e file delle vittime, fanno pensare a un'origine indonesiana della campagna. Gli APK infetti vengono distribuiti tramite link condivisi su app di messaggistica e social, aggirando i controlli del Play Store. Il dominio di comando e controllo, hxxps://apimantax[.]otax[.]fun, viene recuperato dinamicamente da repository GitHub, rendendo più difficile bloccare l'infrastruttura degli attaccanti. Secondo le analisi, non sono stati rilevati casi di Mantax Otax su Google Play o Samsung Galaxy Store, ma la minaccia resta attiva su canali alternativi e file sharing non ufficiali. Google ha rafforzato le difese di Play Protect per intercettare i campioni noti, ma la rapidità con cui il malware si evolve richiede attenzione anche agli utenti europei, come segnalato nei bollettini CERT recenti.
Prevenire prima dell'installazione
La difesa più efficace resta la prevenzione: evitare di installare APK da fonti non ufficiali, rifiutare permessi di Accessibilità e amministratore non necessari, e prestare attenzione a richieste sospette di accesso a SMS, schermo o fotocamera. In caso di schermate di blocco insolite o overlay persistenti, è importante disconnettere subito il dispositivo dalla rete e rivolgersi a esperti prima di inserire PIN o password.
Le aziende dovrebbero monitorare i dispositivi gestiti per individuare app installate fuori store, attivazioni anomale di Accessibilità e traffico in uscita sospetto. La velocità con cui campagne come Mantax Otax si evolvono mostra che la sicurezza mobile non può più essere considerata un problema secondario.
Le minacce Android stanno diventando sempre più integrate: la cifratura dei dati è solo l'inizio, mentre la sorveglianza diventa uno strumento di pressione psicologica. Un trend già visto in altri casi di malware mobile, come JSCeal, che sfruttava i cookie di sessione per violare account Google. La differenza è che Mantax Otax porta la minaccia a un nuovo livello, fondendo estorsione, furto di identità e spionaggio in un'unica piattaforma. Chi sottovaluta il rischio delle app fuori store oggi si espone a un attacco che mette a rischio la privacy e rende sempre più sottile il confine tra furto digitale e ricatto personale.
