Um novo malware para Android está levando a extorsão móvel a um nível particularmente invasivo.
Batizado de:
Mantax Otax,
o código malicioso não se limita a bloquear arquivos e pedir dinheiro.
Depois de convencer a vítima a instalar um aplicativo malicioso e conceder permissões poderosas, os operadores podem utilizar o aparelho para:
roubar mensagens;
interceptar códigos de autenticação;
obter o PIN da tela;
acompanhar a localização;
capturar a tela;
gravar vídeos;
acessar conversas;
tirar fotografias;
e controlar diferentes funções remotamente.
Em determinados aparelhos, o malware também:
criptografa os arquivos da vítima e exige pagamento para recuperá-los.
Depois disso, ainda possui mecanismos criados especificamente para:
pressionar e intimidar a pessoa infectada.
A ameaça foi analisada por pesquisadores da empresa de segurança móvel Zimperium e ganhou atenção após a divulgação das descobertas nesta semana.
Não é apenas ransomware
Chamar Mantax Otax simplesmente de:
“ransomware para Android”
não descreve completamente sua capacidade.
O malware reúne características normalmente encontradas em várias categorias diferentes de ameaça:
ransomware + spyware + controle remoto + roubo de informações + intimidação.
O objetivo parece ser aumentar ao máximo o poder que o criminoso possui sobre a vítima.
Antes de tentar extorquir dinheiro, o operador pode:
espionar o dispositivo.
O ataque começa fora da Google Play
Até o momento, a campanha observada não depende de uma vulnerabilidade desconhecida no Android que infecte automaticamente qualquer celular próximo.
O principal vetor é muito mais tradicional:
engenharia social.
Os criminosos distribuem:
APKs maliciosos hospedados fora da loja oficial.
A vítima precisa ser convencida a:
baixar;
instalar;
conceder permissões.
Os pesquisadores relacionaram a atividade principalmente a:
operadores indonésios.
As evidências analisadas também indicam foco em vítimas da:
Indonésia.
Não há evidência pública de uma campanha em grande escala direcionada especificamente ao Brasil.
Isso é importante para evitar alarmismo
A descoberta de um malware Android não significa que:
“todos os celulares Android estão em risco imediato”.
Também não significa que alguém possa infectar um telefone simplesmente:
enviando uma mensagem.
A cadeia de ataque observada depende principalmente de convencer a pessoa a instalar um:
APK malicioso.
É exatamente por isso que engenharia social continua funcionando tão bem.
O criminoso não precisa necessariamente quebrar a segurança do sistema operacional.
Ele tenta convencer:
o próprio usuário a abrir a porta.
A permissão mais importante é a Acessibilidade
Depois de instalado, Mantax Otax tenta obter acesso ao:
Android Accessibility Service.
O recurso de acessibilidade é legítimo.
Foi criado para auxiliar pessoas que necessitam de recursos adicionais para utilizar o smartphone.
O problema aparece quando um aplicativo malicioso recebe essas permissões.
Ele pode ganhar enorme capacidade para:
observar a interface;
interagir com elementos da tela;
simular ações;
ler determinadas informações;
automatizar comandos.
Malware bancário já explora essa técnica há anos
Abusar da Acessibilidade é uma estratégia comum entre:
trojans bancários;
spyware;
malware móvel.
Isso permite que o código malicioso realize ações que seriam muito mais difíceis utilizando apenas permissões comuns.
No caso do Mantax Otax, a Acessibilidade ajuda a transformar o aplicativo em:
uma ferramenta de controle sobre o telefone.
O malware informa aos criminosos qual aparelho foi infectado
Depois da instalação, Mantax Otax estabelece comunicação com sua infraestrutura de:
comando e controle — C2.
O malware consegue obter o domínio utilizado para essa comunicação por meio do:
GitHub.
Depois envia informações sobre o dispositivo comprometido.
Entre elas podem estar:
localização;
operadora;
versão do Android;
identificador do aparelho.
A partir daí, os criminosos conseguem enviar:
comandos remotamente.
Firebase e WebSockets fazem parte da infraestrutura
As versões analisadas mostram evolução técnica.
Os operadores utilizam recursos como:
Firebase
e:
WebSockets
para comunicação e controle.
Isso permite que determinados comandos sejam enviados ao aparelho infectado praticamente:
em tempo real.
E é justamente essa arquitetura que torna a ameaça muito mais do que um ransomware tradicional.
O criminoso consegue acompanhar a vítima
Mantax Otax possui recursos capazes de acessar:
SMS;
registro de chamadas;
contatos;
histórico de navegação;
lista de aplicativos;
informações da conta Google;
localização.
Mas algumas capacidades são ainda mais preocupantes.
O malware pode tentar obter:
códigos OTP enviados por SMS.
OTP é justamente o código utilizado para proteger contas
Imagine receber:
“Seu código de confirmação é 847291.”
Esse código deveria funcionar como uma segunda camada de segurança.
Mesmo que o criminoso conheça sua senha, ainda precisaria do:
OTP.
Mas se o malware estiver dentro do celular e conseguir ler a mensagem:
o segundo fator também pode ser comprometido.
Isso cria risco para:
e-mail;
redes sociais;
serviços digitais;
contas que dependam de códigos enviados por SMS.
Mas isso não significa que qualquer conta bancária será automaticamente roubada
É importante separar:
capacidade técnica de resultado garantido.
Roubar um OTP pode ajudar em determinadas fraudes.
Mas bancos e outros serviços podem utilizar:
biometria;
device binding;
análise comportamental;
tokens;
criptografia;
outros mecanismos antifraude.
Portanto, dizer que Mantax Otax:
“rouba automaticamente sua conta bancária”
seria exagerado.
O correto é:
a capacidade de interceptar códigos de autenticação aumenta significativamente o risco de tomada de contas e fraude.
O malware também tenta roubar o PIN da tela
Outra capacidade particularmente invasiva envolve:
o PIN utilizado para desbloquear o aparelho.
Mantax Otax pode apresentar uma interface sobreposta à tela legítima para induzir a vítima a:
digitar seu código.
Esse tipo de técnica é conhecido como:
overlay.
A pessoa acredita estar interagindo com:
Android.
Mas está digitando a informação dentro de uma interface controlada pelo:
malware.
Com o PIN, o criminoso ganha outra peça importante
O código de desbloqueio pode ajudar a manter acesso e ampliar o comprometimento.
Isso é especialmente grave porque muitas pessoas tratam o PIN do smartphone como:
uma credencial universal.
O aparelho concentra:
e-mail;
mensagens;
autenticadores;
aplicativos financeiros;
fotografias;
documentos;
senhas.
O smartphone virou:
uma carteira digital da vida da pessoa.
WhatsApp também entra na mira
Os pesquisadores observaram capacidades para extrair informações relacionadas ao:
WhatsApp.
Isso pode incluir:
perfil
e:
mensagens acessíveis através da interação automatizada proporcionada pelos recursos de Acessibilidade.
O mesmo vale para:
Telegram.
É importante não interpretar isso como uma quebra da criptografia dessas plataformas.
Mantax Otax não “quebrou a criptografia do WhatsApp”
Essa distinção é fundamental.
A criptografia protege mensagens durante sua transmissão e armazenamento dentro da arquitetura prevista pelo serviço.
Mas se o malware controla:
o próprio dispositivo onde a mensagem aparece em texto legível,
ele pode tentar capturar a informação na ponta.
É como ter uma carta dentro de um cofre extremamente seguro.
Se alguém estiver olhando por cima do seu ombro quando você abre o cofre:
não precisa quebrar o cofre.
O malware pode enxergar a tela praticamente em tempo real
Mantax Otax também abusa da API:
MediaProjection.
Ela é utilizada legitimamente no Android para:
compartilhamento;
gravação de tela;
transmissões.
Em mãos maliciosas, pode permitir:
capturar screenshots;
gravar vídeos MP4;
acompanhar o conteúdo exibido.
Os pesquisadores observaram capacidade para transmitir a tela comprometida:
quase em tempo real.
Isso transforma o celular em uma janela para a vida digital da vítima
Imagine abrir:
e-mail;
conversa;
aplicativo;
documento.
Se o invasor consegue acompanhar a tela, pode observar informações que talvez nem precise:
roubar diretamente do aplicativo.
Ele simplesmente vê:
o que a vítima vê.
E a câmera também pode ser utilizada
Uma das capacidades mais perturbadoras é o acesso às:
câmeras do smartphone.
O malware consegue capturar fotografias utilizando o dispositivo infectado e enviá-las aos operadores.
Isso adiciona uma dimensão:
física
à espionagem.
O smartphone deixa de revelar apenas:
dados digitais.
Pode revelar também:
o ambiente ao redor da pessoa.
Depois vem a parte ransomware
Mantax Otax procura determinados arquivos armazenados no aparelho e pode:
criptografá-los.
O processo utiliza:
AES
com uma chave específica para cada vítima obtida a partir da infraestrutura C2.
Depois da criptografia:
os arquivos originais são apagados;
as versões criptografadas recebem:
.enc
no final do nome.
Mas existe uma limitação extremamente importante
A capacidade mais ampla de ransomware funciona principalmente contra:
Android 9 ou versões anteriores.
Isso acontece por causa de uma mudança de segurança introduzida no:
Android 10.
Ela é conhecida como:
Scoped Storage.
Scoped Storage limita o acesso indiscriminado aos arquivos
Versões modernas do Android passaram a restringir significativamente o acesso de aplicativos ao armazenamento compartilhado.
Em vez de qualquer aplicativo conseguir percorrer livremente uma grande quantidade de arquivos, existem:
barreiras mais rígidas.
Isso reduz a capacidade do Mantax Otax de criptografar indiscriminadamente o conteúdo do aparelho.
Portanto, Android moderno está imune?
Não.
Essa seria uma conclusão errada.
Scoped Storage limita especificamente uma parte importante da capacidade de:
ransomware.
Mas as demais funcionalidades podem continuar sendo perigosas dependendo:
das permissões concedidas;
da versão;
da configuração;
dos recursos disponíveis.
Spyware.
Acessibilidade.
Captura de tela.
Roubo de informações.
Controle remoto.
Tudo isso continua sendo:
relevante.
Android antigo sofre impacto potencialmente maior
Em dispositivos com:
Android 9 ou anterior,
o ransomware consegue procurar arquivos no armazenamento compartilhado com muito menos restrições.
Isso torna esses aparelhos particularmente expostos à etapa de:
criptografia.
É mais uma demonstração da importância de não utilizar indefinidamente:
sistemas operacionais sem suporte.
Depois de criptografar, o malware transforma fotos em avisos de resgate
Mantax Otax altera imagens locais para exibir:
mensagens de extorsão.
A vítima começa a encontrar avisos relacionados ao:
pagamento do resgate.
O malware também consegue abrir uma interface de:
chat em tela cheia.
É por ali que criminoso e vítima podem:
negociar.
Pesquisadores conseguiram observar conversas dos criminosos
A infraestrutura utilizada pelos operadores possuía uma:
configuração incorreta no Firebase.
Pesquisadores conseguiram aproveitar essa exposição para visualizar comunicações relacionadas às negociações com vítimas.
Isso ajudou a compreender:
como a operação funciona depois da infecção.
A segunda versão ficou ainda mais agressiva
Pesquisadores identificaram pelo menos:
duas versões
do Mantax Otax.
A evolução mostra que o projeto está sendo:
desenvolvido ativamente.
A versão mais recente adicionou capacidades de comunicação e também uma categoria bastante incomum:
assédio digital.
O celular pode começar a bombardear a vítima
O malware consegue disparar repetidamente:
caixas de diálogo;
vídeos em tela cheia;
imagens;
overlays;
mensagens.
Algumas imagens podem aparecer rapidamente como:
“jumpscares”.
A ideia parece ser:
desestabilizar e intimidar.
E os criminosos podem fazer o aparelho falar
Mantax Otax também consegue abusar de:
text-to-speech.
O operador envia um texto.
O telefone da vítima:
fala a mensagem em voz alta.
Imagine um aparelho comprometido reproduzindo repetidamente:
ameaças;
ordens;
mensagens;
cobranças.
Isso transforma ransomware em:
pressão psicológica direta.
É uma mudança interessante na lógica da extorsão
Ransomware tradicional segue uma fórmula:
criptografar;
mostrar mensagem;
pedir dinheiro.
Mantax Otax adiciona:
espionagem;
controle;
intimidação.
O criminoso pode conhecer detalhes da vítima antes mesmo de:
começar a pressioná-la.
Informação roubada pode tornar a ameaça muito mais convincente
Imagine o atacante sabendo:
nome;
localização;
contatos;
mensagens;
fotografias.
Uma ameaça genérica pode virar:
uma ameaça personalizada.
Isso aumenta o potencial de:
coação;
chantagem;
engenharia social.
É justamente a combinação de:
spyware + ransomware
que torna essa família particularmente preocupante.
O malware também pode incomodar contatos da vítima
Com acesso a:
contatos;
SMS;
funções do aparelho,
o comprometimento pode ser usado para ampliar o assédio e gerar pressão social.
Mas é importante não extrapolar:
as capacidades dependem das permissões obtidas e da versão analisada.
Não significa que todo dispositivo infectado necessariamente sofrerá:
todas as ações possíveis.
Existem pistas fortes de origem indonésia
A análise técnica encontrou elementos apontando para:
operadores da Indonésia.
Os pesquisadores também identificaram arquivos e comunicações que indicam vítimas predominantemente:
indonésias.
Portanto, neste momento, o Mantax Otax deve ser entendido principalmente como:
uma campanha observada naquele ecossistema.
Não como uma epidemia global de Android.
Mas a técnica pode ser reaproveitada
Código malicioso não respeita:
fronteiras.
Uma família criada para uma campanha local pode:
ser vendida;
copiada;
modificada;
vazada;
reutilizada.
É por isso que pesquisadores acompanham ameaças mesmo quando elas ainda possuem:
alcance geográfico limitado.
A principal proteção continua sendo simples
Não instalar aplicativos de:
fontes desconhecidas.
A campanha observada utiliza APKs distribuídos:
fora da Google Play.
Isso não significa que a loja oficial seja absolutamente livre de malware.
Aplicativos maliciosos ocasionalmente conseguem passar pelas barreiras.
Mas instalar APKs enviados por:
WhatsApp;
Telegram;
SMS;
e-mail;
sites desconhecidos
aumenta significativamente:
a superfície de risco.
Acessibilidade é outro enorme sinal de alerta
Um aplicativo simples pedindo:
controle de Acessibilidade
deveria levantar uma pergunta:
por quê?
Um app de lanterna não deveria precisar controlar sua tela.
Um jogo simples não deveria precisar observar suas interações.
Um APK recebido por mensagem pedindo Acessibilidade merece:
desconfiança imediata.
Play Protect já detecta a ameaça
A Zimperium participa da:
App Defense Alliance
e compartilha inteligência sobre ameaças móveis.
Segundo as informações divulgadas, amostras do Mantax Otax já são detectadas e bloqueadas em dispositivos Android atualizados que possuem:
Google Play Protect ativo.
Isso cria uma camada adicional de proteção.
Mas novamente:
nenhuma defesa é absoluta.
Manter Android atualizado é especialmente importante neste caso
O Mantax Otax oferece uma demonstração concreta da diferença que uma mudança arquitetural de segurança pode fazer.
Android 9 ou anterior:
maior capacidade de criptografar armazenamento compartilhado.
Android 10+:
Scoped Storage restringe significativamente essa ação.
Uma atualização que parece apenas trazer:
nova interface;
novos recursos
pode conter mudanças profundas de:
arquitetura de segurança.
Empresas também precisam prestar atenção
Embora a campanha conhecida esteja principalmente relacionada a usuários na Indonésia, smartphones pessoais frequentemente acessam:
e-mail corporativo;
Microsoft 365;
Google Workspace;
Slack;
VPN;
sistemas internos.
Um aparelho comprometido pode fornecer:
OTP;
mensagens;
credenciais;
informações corporativas.
Por isso, malware móvel não é apenas:
problema do usuário doméstico.
BYOD amplia esse desafio
Bring Your Own Device permite que funcionários utilizem:
aparelhos pessoais para trabalhar.
É conveniente.
Mas mistura:
vida pessoal;
dados empresariais.
Se o aparelho instala APKs desconhecidos e ao mesmo tempo acessa:
sistemas corporativos,
a empresa herda parte:
desse risco.
Mantax Otax mostra como ransomware móvel está evoluindo
Criptografar fotografias já é grave.
Mas a ameaça não precisa parar nisso.
O criminoso pode primeiro:
espionar.
Depois:
roubar credenciais.
Depois:
acompanhar a tela.
Depois:
tirar fotografias.
Depois:
criptografar arquivos.
E finalmente:
usar o próprio smartphone para pressionar a vítima.
Essa sequência muda completamente a natureza do ataque.
O celular vira simultaneamente alvo e instrumento da extorsão
Esse talvez seja o aspecto mais perturbador.
Em ransomware tradicional, o computador:
é sequestrado.
No Mantax Otax, o telefone também pode ser usado para:
observar;
gravar;
falar;
mostrar ameaças;
pressionar.
O dispositivo que deveria conectar a pessoa ao mundo vira:
a ferramenta usada pelo criminoso contra ela.
Mas não existe motivo para pânico entre usuários Android
A ameaça possui uma cadeia de infecção evitável.
Não estamos diante de uma falha que infecta automaticamente:
qualquer smartphone Android.
O ataque observado exige principalmente:
instalação de APK malicioso e concessão de permissões perigosas.
Isso significa que comportamento e configuração continuam sendo:
barreiras importantes.
O alerta principal é outro
Aplicativos instalados fora das lojas oficiais podem pedir permissões que parecem burocráticas.
“Permitir Acessibilidade.”
“Permitir administrador.”
“Permitir câmera.”
“Permitir gravação.”
O usuário pode clicar:
Aceitar. Aceitar. Aceitar.
Em poucos segundos, acaba concedendo ao aplicativo exatamente aquilo que o atacante precisa.
Mantax Otax explora essa confiança
Depois de receber as permissões, a ameaça combina técnicas que normalmente seriam vistas em:
vários malwares diferentes.
Ransomware.
Spyware.
RAT.
Infostealer.
Ferramenta de assédio.
Tudo dentro:
do mesmo APK.
E é essa combinação que faz do Mantax Otax uma ameaça interessante para pesquisadores e perigosa para vítimas.
O malware não quer apenas seus arquivos.
Quer:
ver o que você vê, ler o que você recebe, conhecer onde você está e controlar o aparelho que está na sua mão.
Depois, se conseguir:
usa tudo isso para aumentar a pressão pelo pagamento.
