Mantax Otax, la minaccia mobile più avanzata mai vista in Indonesia, cripta dati e spia ogni attività su Android obsoleti, costringendo le vittime a negoziare il riscatto in chat diretta con i criminali.
Un attacco informatico che non lascia scampo: Mantax Otax prende il controllo totale dei vecchi smartphone Android, cripta i dati personali e costringe le vittime a trattare il riscatto in tempo reale con i cybercriminali. Non si tratta di un semplice ransomware, ma di una piattaforma di sorveglianza e ricatto che ridefinisce il concetto di minaccia mobile.
Il vero colpo di scena arriva quando, dopo aver cifrato foto, documenti e archivi, il malware blocca lo schermo e apre una chat interattiva. Qui gli operatori, nascosti dietro un'interfaccia Firebase mal configurata, guidano la vittima passo dopo passo nella trattativa, sfruttando la pressione psicologica e la paura di perdere ogni dato. La doppia estorsione è servita: privacy violata e ricordi digitali in ostaggio.
Un arsenale di spionaggio in tasca
Mantax Otax non si limita a cifrare i file. Una volta installato tramite APK distribuiti su servizi di file sharing e link social, il malware richiede privilegi da amministratore e autorizzazioni invasive: SMS, contatti, microfono, immagini, servizi di accessibilità. Da quel momento, ogni azione dell'utente viene monitorata: registrazione dello schermo in tempo reale, furto di PIN di sblocco, estrazione di cronologia browser, rubrica, log chiamate, messaggi (inclusi OTP), configurazioni Google, inventario app, posizione geografica e persino foto scattate di nascosto con le fotocamere.
Le chat di WhatsApp e Telegram vengono violate sfruttando i servizi di accessibilità, mentre screenshot, registrazioni video e audio vengono compressi ed esfiltrati su Catbox, con i link inviati direttamente agli operatori. Il malware può anche impartire comandi vocali remoti tramite Text-to-Speech, facendo pronunciare al telefono qualsiasi frase scelta dagli attaccanti.
Ransomware mirato ai dispositivi più vulnerabili
Il bersaglio principale sono i dispositivi Android con versione 9 o inferiore, dove Mantax Otax può cifrare ogni tipo di file (media, documenti, database, chiavi crittografiche) usando AES e aggiungendo l'estensione .enc. Le immagini di sistema vengono sostituite da avvisi di riscatto, mentre le directory di sistema vengono risparmiate per evitare crash irreversibili. Sui dispositivi più recenti, le restrizioni di Scoped Storage limitano l'impatto, ma la componente spyware resta attiva e aggressiva.
La comunicazione con i server di comando e controllo avviene tramite HTTPS, con i domini aggiornati dinamicamente da un repository GitHub per garantire resilienza. Ogni dispositivo infetto viene registrato con dati di telemetria dettagliati: posizione, operatore, versione Android.
Nuove tecniche di blocco e manipolazione
Le ultime varianti di Mantax Otax introducono WebSocket e comandi avanzati per il controllo dell'interfaccia: blocco persistente dello schermo, blocco di app specifiche, soppressione degli input touch, spam di finestre di dialogo, overlay video a tutto schermo e persino "jumpscare" per disorientare l'utente. Il malware si finge processo di sistema per intercettare e aggirare i PIN di blocco, rendendo inefficaci le difese standard.
La distribuzione avviene quasi esclusivamente tramite canali non ufficiali, sfruttando la scarsa alfabetizzazione digitale e la diffusione di dispositivi obsoleti in Indonesia. L'interfaccia, i file recuperati e le stringhe linguistiche confermano il focus geografico dell'operazione.
Difese e precedenti nel panorama delle minacce
Soluzioni come Zimperium Mobile Threat Defense e zDefend sono in grado di rilevare e bloccare Mantax Otax, offrendo anche filtri web per impedire il traffico verso siti e server malevoli. La lista completa degli indicatori di compromissione e dei comandi supportati è pubblicata su GitHub.
Il caso Mantax Otax si inserisce in una tendenza crescente di malware mobili che combinano tecniche di spionaggio e ricatto, come già visto in precedenti indagini su campagne di furto credenziali e sessioni attive.
La realtà è che Mantax Otax rappresenta un salto di qualità nella guerra digitale contro gli utenti meno protetti: la fusione di ransomware e spyware in un'unica minaccia, la capacità di negoziare il riscatto in chat diretta e la raccolta sistematica di dati sensibili segnano un cambio di paradigma. Finché la distribuzione di APK non ufficiali resterà fuori controllo e i dispositivi obsoleti continueranno a circolare senza aggiornamenti, il terreno sarà fertile per attacchi sempre più sofisticati. La difesa non può più limitarsi a soluzioni tecniche: serve una presa di coscienza collettiva sulla sicurezza mobile, perché la prossima vittima potrebbe essere chiunque abbia in tasca uno smartphone non aggiornato.
